SOC 2 e gestão de ativos: o que mostrar ao auditor

Para provar a um auditor SOC 2 que gere os seus ativos, mantenha um único registo dos dispositivos, sistemas e contratos de fornecedores que tocam dados de clientes, com responsável, estado e local para cada um, e mostre como um item entra, muda de mãos e sai. O SOC 2 não tem um controlo chamado «inventário de ativos». O auditor liga o seu registo aos critérios de acesso, abate e fornecedores, por isso o que testa é se o registo corresponde à realidade.

O SOC 2 exige mesmo um inventário de ativos?

O SOC 2 é um relatório de atestação baseado nos Trust Services Criteria publicados pelo AICPA. Não existe uma linha que diga «mantenha um inventário de ativos». Ainda assim, os Common Criteria apoiam-se nele. O critério de acesso lógico (CC6.1) inclui gerir um inventário de ativos de informação entre os seus pontos de foco, o critério sobre o abate de ativos físicos (CC6.5) exige saber o que se abate, e o de fornecedores (CC9.2) pressupõe conhecer aqueles de que depende.

O auditor testa a sua própria descrição do sistema e as suas políticas. Se escrever que os dispositivos são registados e revistos, vai recolher amostras do registo para confirmar. Um compromisso curto e exato vale mais do que um ambicioso que não consegue provar.

Fonte: o AICPA publica os Trust Services Criteria e a orientação SOC 2 em aicpa-cima.com.

O que vai o auditor pedir para ver?

Os pedidos variam consoante o auditor, mas costumam seguir este padrão. Use-o como ponto de partida e confirme com o seu.

Tipo I ou Tipo II: o que muda no registo?

Um relatório Tipo I avalia se os seus controlos estão bem desenhados numa data. Um Tipo II testa se funcionaram durante um período, frequentemente vários meses. Para o registo, esta é a diferença real. Para o Tipo I basta um retrato. Para o Tipo II o auditor recolhe amostras de todo o período, por isso é preciso mostrar o que o registo dizia então, não só hoje.

Na prática, guarde uma exportação a intervalos regulares e garanta que cada mudança de estado tem data. Se um portátil foi reatribuído em março, a ficha deve continuar a mostrar quem o tinha antes.

Qual é o registo mínimo para uma startup?

Não precisa de uma CMDB empresarial. Cubra o que toca dados de clientes e registe os mesmos campos em tudo.

• Hardware: portáteis e telemóveis, mais qualquer servidor ou equipamento de rede próprio, com número de série.
• Responsável: uma pessoa com nome, não uma caixa partilhada.
• Estado: em stock, em uso, em reparação, retirado.
• Local: escritório, casa ou armazém.
• Cifragem e gestão: se o disco está cifrado e o dispositivo está inscrito na sua gestão de dispositivos, com referência na ficha.
• Contratos de fornecedores: responsável, data de fim e pré-aviso de cada fornecedor que armazene ou trate dados de clientes.
• Abate: data e ligação ao certificado de apagamento.

Como mantê-lo correto entre auditorias?

Os registos desatualizam-se pelas margens: um novo colaborador recebe um portátil do stock, quem sai fica com um telemóvel, um fornecedor renova em silêncio. Três hábitos cobrem quase tudo. Reconcilie o registo com a lista do seu fornecedor de identidade uma vez por mês e corrija cada diferença. Ligue-o à sua checklist de saída para que a devolução fique registada no próprio dia. E reveja todos os trimestres os registos de abate, porque os certificados de apagamento são o que as equipas mais dificilmente encontram depois.

Para a visão geral do que um auditor espera, veja sobreviver a uma auditoria de ativos de TI e o registo de ativos ISO 27001, muito semelhante.

Onde encaixa o InventorIA?

O InventorIA reúne o registo de hardware (atribuição, estado, garantia, local e estados do ciclo de vida), as licenças de software com os seus lugares e o registo de contratos de fornecedores com datas de início e fim e alertas de renovação. As fichas de pessoas e a saída ligam cada pessoa aos ativos e lugares que detém, e os dados exportam-se para CSV ou Excel para entregar ao auditor uma cópia datada. Um registo de auditoria faz parte do plano Enterprise.

É uma ferramenta de registo. Não o torna conforme com o SOC 2 por si só: o apagamento, a cifragem e os controlos de acesso continuam a ser seus para executar e provar. Para experimentar com dados de exemplo, abra a demo ao vivo ou crie um espaço gratuito, até 10 ativos.

Perguntas frequentes

Um inventário de ativos é obrigatório para o SOC 2?

Os critérios não têm um controlo com esse nome exato, mas os de acesso, abate e fornecedores dependem de conhecer os ativos, por isso os auditores esperam um. Descreva na descrição do sistema o que realmente faz.

Os dispositivos pessoais (BYOD) têm de estar no registo?

Se puderem aceder a dados de clientes, sim, ou a sua política tem de os proibir e deve conseguir mostrar como isso é aplicado. O auditor quer que a regra corresponda à prática.

Uma folha de cálculo chega para a primeira auditoria?

Sim, se estiver completa, com responsáveis e datas, e reconciliada segundo um calendário. Uma ferramenta facilita sobretudo o histórico e a verificação mensal.

Com que frequência rever o registo?

Uma reconciliação mensal com a lista de identidades é um ritmo comum numa startup, com uma revisão mais completa a cada trimestre. Escolha um que vá cumprir e cumpra-o.

Usar o InventorIA torna-nos conformes com o SOC 2?

Não. Guarda os registos que os auditores pedem. A conformidade depende das suas políticas, dos seus controlos e da opinião do auditor.