Por que SaaS brasileiros esbarram no SOC 2
O SOC 2 é um relatório de auditoria baseado nos Trust Services Criteria da AICPA, muito pedido por clientes nos Estados Unidos e por grandes empresas que compram software. SaaS brasileiros que vendem para fora, ou para multinacionais aqui, costumam receber a pergunta "vocês têm SOC 2?" ou, pelo menos, "vocês têm um pentest recente?".
O SOC 2 exige pentest?
Não como regra escrita. Os critérios pedem que a empresa monitore os controles (CC4.1) e identifique e trate vulnerabilidades (CC7.1), e os próprios pontos de foco dos critérios citam avaliações como testes de intrusão. Na prática, a maioria dos auditores espera ver um pentest recente da aplicação, com plano de correção.
Mesmo antes do SOC 2, um relatório de pentest com reteste costuma destravar a análise de segurança de clientes corporativos, aquele questionário longo que trava a venda.
Como preparar o pentest para a auditoria
- 01Defina o escopo junto com o escopo do SOC 2: aplicação, API e a infraestrutura que as sustenta.
- 02Faça o teste dentro do período de observação (no SOC 2 Tipo II) ou pouco antes dele.
- 03Registre os achados no seu processo de gestão de vulnerabilidades, com responsável e prazo.
- 04Faça o reteste e guarde a evidência de correção.
- 05Tenha um resumo executivo que possa ser compartilhado com clientes sem expor detalhes técnicos.
O que a Sovereign Tech entrega
Pentest de aplicação, API e nuvem com relatório executivo e técnico, classificação de severidade e reteste. Não somos firma de auditoria e não emitimos relatório SOC 2: entregamos a evidência técnica que o auditor e os seus clientes pedem.
Leia também
Fontes: AICPA — SOC suite of services