{"id":38734,"date":"2026-09-03T09:00:00","date_gmt":"2026-09-03T12:00:00","guid":{"rendered":"https:\/\/www.dattos.com.br\/?p=38734"},"modified":"2026-09-03T11:08:43","modified_gmt":"2026-09-03T14:08:43","slug":"soc-2","status":"publish","type":"post","link":"https:\/\/www.dattos.com.br\/en\/blog\/soc-2\/","title":{"rendered":"SOC 2: o que aprendi quando a seguran\u00e7a virou rotina?"},"content":{"rendered":"

The SOC 2<\/strong> parecia, para mim, a continua\u00e7\u00e3o natural de um caminho que j\u00e1 estava bem estruturado. Quando decidimos buscar o relat\u00f3rio Tipo 1, a Dattos havia conquistado a certifica\u00e7\u00e3o ISO\/IEC 27001:2022, mantinha um Sistema de Gest\u00e3o de Seguran\u00e7a da Informa\u00e7\u00e3o em opera\u00e7\u00e3o e j\u00e1 tinha passado por uma auditoria externa.<\/p>\n\n\n\n

Ainda assim, levei algumas semanas para perceber o tamanho da tradu\u00e7\u00e3o que ter\u00edamos pela frente<\/span>. A base de seguran\u00e7a existia, mas o vocabul\u00e1rio, o escopo e a l\u00f3gica de assegura\u00e7\u00e3o pediam outro tipo de organiza\u00e7\u00e3o.<\/p>\n\n\n\n

A primeira dificuldade nem foi t\u00e9cnica. Eu encontrava bastante conte\u00fado em ingl\u00eas e pouco material em portugu\u00eas que respondesse \u00e0s perguntas de quem conduz o projeto por dentro. O que entra no sistema descrito? Quem afirma o qu\u00ea? O que significa avaliar controles em uma data? At\u00e9 onde o auditor pode orientar sem comprometer a independ\u00eancia?<\/p>\n\n\n\n

Este artigo re\u00fane o que eu gostaria de ter encontrado naquela \u00e9poca. Tamb\u00e9m organiza o que aprendemos ao sair da ISO 27001, passar pelo SOC 2 Tipo 1 e preparar a opera\u00e7\u00e3o para o Tipo 2.<\/p>\n\n\n\n

Resposta r\u00e1pida<\/strong>

The company SOC 2 \u00e9 um relat\u00f3rio de assegura\u00e7\u00e3o sobre controles de uma organiza\u00e7\u00e3o prestadora de servi\u00e7os<\/strong>. Ele usa crit\u00e9rios da AICPA relacionados \u00e0 seguran\u00e7a, disponibilidade, integridade de processamento, confidencialidade e privacidade.

Na nossa experi\u00eancia, a ISO 27001 respondeu por algo entre 70% e 80% da prepara\u00e7\u00e3o para o Tipo 1. Essa faixa \u00e9 uma leitura do projeto da Dattos, n\u00e3o um par\u00e2metro de mercado.

O restante envolveu escopo, descri\u00e7\u00e3o do sistema, afirma\u00e7\u00e3o da administra\u00e7\u00e3o e tradu\u00e7\u00e3o das evid\u00eancias para a estrutura do exame.

O principal aprendizado foi perceber que um controle ganha valor quando funciona na rotina e produz evid\u00eancia enquanto funciona<\/strong>. A auditoria observa esse processo, mas n\u00e3o deveria ser a raz\u00e3o de ele existir.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

SOC 2: o que ele avalia e por que n\u00e3o \u00e9 uma certifica\u00e7\u00e3o?<\/h2>\n\n\n\n

Na primeira conversa com uma firma de auditoria, perguntei em quanto tempo ter\u00edamos o \u201ccertificado SOC 2\u201d<\/em>. A resposta corrigiu o projeto logo no come\u00e7o. N\u00e3o ter\u00edamos um certificado, porque o SOC 2 resulta em um relat\u00f3rio com uma opini\u00e3o independente.<\/p>\n\n\n\n

The defini\u00e7\u00e3o oficial da AICPA<\/a> descreve o SOC 2 como um exame de controles de uma organiza\u00e7\u00e3o prestadora de servi\u00e7os<\/strong>. Esses controles s\u00e3o avaliados conforme os Trust Services Criteria, que abrangem seguran\u00e7a, disponibilidade, integridade de processamento, confidencialidade e privacidade.<\/p>\n\n\n\n

Seguran\u00e7a funciona como a base dos Common Criteria. As demais categorias entram conforme o servi\u00e7o, os compromissos assumidos e as necessidades de quem utilizar\u00e1 o relat\u00f3rio. Por isso, dois relat\u00f3rios SOC 2 podem ter escopos diferentes sem que um esteja necessariamente mais completo do que o outro.<\/p>\n\n\n\n

O relat\u00f3rio tamb\u00e9m carrega uma arquitetura pr\u00f3pria. A organiza\u00e7\u00e3o descreve o sistema e apresenta uma afirma\u00e7\u00e3o formal; o auditor independente aplica procedimentos, avalia evid\u00eancias e emite sua opini\u00e3o. No Tipo 2, o documento ainda apresenta os testes dos controles e seus resultados.<\/p>\n\n\n\n

The SOC 2, portanto, n\u00e3o \u00e9 um selo gen\u00e9rico de que tudo est\u00e1 seguro.<\/strong> Ele oferece informa\u00e7\u00e3o detalhada sobre um sistema delimitado, seus controles e o trabalho de assegura\u00e7\u00e3o realizado.<\/p>\n\n\n\n

Qual \u00e9 a diferen\u00e7a entre SOC 2 Tipo 1 e Tipo 2?<\/h3>\n\n\n\n

A diferen\u00e7a fica mais clara quando olhamos para o recorte de tempo e para a pergunta feita ao controle.<\/p>\n\n\n\n

Aspecto<\/strong><\/th>SOC 2 Tipo 1<\/strong><\/th>SOC 2 Tipo 2<\/strong><\/th><\/tr><\/thead>
Recorte<\/strong><\/td>Uma data espec\u00edfica<\/td>Um per\u00edodo definido<\/td><\/tr>
Foco da opini\u00e3o<\/strong><\/td>Desenho e implementa\u00e7\u00e3o dos controles<\/td>Desenho, implementa\u00e7\u00e3o e efetividade operacional<\/td><\/tr>
Evid\u00eancia<\/strong><\/td>Demonstra a condi\u00e7\u00e3o na data avaliada<\/td>Demonstra a execu\u00e7\u00e3o ao longo do per\u00edodo<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

A compara\u00e7\u00e3o entre fotografia e filme ajuda, desde que a gente n\u00e3o pare nela. No Tipo 1, o controle precisa estar desenhado e implementado na data-base. No Tipo 2, a organiza\u00e7\u00e3o precisa demonstrar que o controle continuou operando com consist\u00eancia<\/strong>.<\/p>\n\n\n\n

Por que come\u00e7ar o SOC 2 foi t\u00e3o desconfort\u00e1vel?<\/h2>\n\n\n\n

Eu sabia razoavelmente bem o que precisava entregar, mas n\u00e3o encontrava uma explica\u00e7\u00e3o honesta sobre como chegar l\u00e1. Em ingl\u00eas, havia material para um mercado que convive com o tema h\u00e1 d\u00e9cadas. Em portugu\u00eas, boa parte do que aparecia vinha de consultorias, plataformas de compliance e checklists com prazos universais.<\/p>\n\n\n\n

Esses materiais at\u00e9 ajudavam a organizar tarefas, por\u00e9m n\u00e3o respondiam \u00e0 pergunta que mais me interessava: \u201cO que exatamente o auditor vai olhar e com base em quais crit\u00e9rios emitir\u00e1 a opini\u00e3o?\u201d<\/em><\/p>\n\n\n\n

O problema de uma promessa r\u00e1pida come\u00e7a antes do cronograma. Ela costuma pressupor que o escopo j\u00e1 est\u00e1 claro, os controles est\u00e3o maduros, as responsabilidades foram definidas e as evid\u00eancias existem. Quando alguma dessas condi\u00e7\u00f5es falta, a velocidade anunciada apenas empurra a discuss\u00e3o para mais perto da auditoria.<\/p>\n\n\n\n

Essa preocupa\u00e7\u00e3o continua atual. Em 2026, a pr\u00f3pria AICPA reuniu alertas sobre promessas de trabalhos SOC r\u00e1pidos e f\u00e1ceis<\/a><\/strong>, al\u00e9m de refor\u00e7ar a necessidade de avaliar cuidadosamente os servi\u00e7os, os profissionais e os padr\u00f5es aplicados.<\/p>\n\n\n\n

A pressa n\u00e3o resolve uma pergunta de escopo mal respondida.<\/strong> Antes de estimar o prazo, \u00e9 preciso entender o servi\u00e7o, os riscos, os controles e a condi\u00e7\u00e3o real das evid\u00eancias.<\/p>\n\n\n\n

Foi por isso que sa\u00ed da primeira conversa com a auditoria com mais d\u00favidas do que respostas. Ao mesmo tempo, aquele desconforto foi \u00fatil. Ele nos obrigou a parar de procurar um checklist universal e a compreender a estrutura do trabalho.<\/p>\n\n\n\n

Como traduzir o SOC 2 para o vocabul\u00e1rio brasileiro?<\/h2>\n\n\n\n

O SOC nasceu no universo profissional da AICPA, nos Estados Unidos. Essa origem explica parte da confus\u00e3o, especialmente quando a conversa chega ao jur\u00eddico, \u00e0 auditoria interna ou a clientes acostumados com as normas brasileiras de assegura\u00e7\u00e3o.<\/p>\n\n\n\n

No Brasil, a NBC TO 3402 aparece na rela\u00e7\u00e3o oficial do Conselho Federal de Contabilidade<\/a> como a norma para relat\u00f3rios de assegura\u00e7\u00e3o de controles em organiza\u00e7\u00e3o prestadora de servi\u00e7os. O assunto dela est\u00e1 diretamente ligado a controles relevantes para os relat\u00f3rios financeiros das entidades usu\u00e1rias, o mesmo territ\u00f3rio conceitual do SOC 1 e da ISAE 3402.<\/p>\n\n\n\n

O SOC 2 segue outro objeto. A AICPA o estrutura em torno dos Trust Services Criteria e dos controles relevantes para seguran\u00e7a, disponibilidade, integridade de processamento, confidencialidade e privacidade. Por isso, a NBC TO 3402 n\u00e3o deve ser apresentada como uma tradu\u00e7\u00e3o brasileira do SOC 2.<\/p>\n\n\n\n

Refer\u00eancia<\/strong><\/th>Assunto central<\/strong><\/th>Rela\u00e7\u00e3o que ajuda na conversa<\/strong><\/th><\/tr><\/thead>
SOC 1 e NBC TO 3402<\/strong><\/td>Controles do prestador relevantes para os relat\u00f3rios financeiros dos clientes<\/td>S\u00e3o as refer\u00eancias mais pr\u00f3ximas entre si<\/td><\/tr>
SOC 2<\/strong><\/td>Controles de um sistema de servi\u00e7os avaliados pelos Trust Services Criteria<\/td>Usa crit\u00e9rios e orienta\u00e7\u00e3o pr\u00f3prios da AICPA<\/td><\/tr>
Normas gerais de assegura\u00e7\u00e3o<\/strong><\/td>Regras profissionais aplic\u00e1veis a trabalhos de assegura\u00e7\u00e3o conforme o objeto e a contrata\u00e7\u00e3o<\/td>Podem compor o enquadramento profissional no Brasil<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

O que destravou minhas conversas foi reconhecer a arquitetura comum dos trabalhos de assegura\u00e7\u00e3o. Existe uma descri\u00e7\u00e3o preparada pela administra\u00e7\u00e3o, uma afirma\u00e7\u00e3o formal, crit\u00e9rios aplic\u00e1veis, controles relacionados e uma opini\u00e3o independente.<\/p>\n\n\n\n

A semelhan\u00e7a que ajudou foi estrutural, n\u00e3o uma equival\u00eancia autom\u00e1tica entre as normas.<\/strong> Com esse cuidado, ficou mais f\u00e1cil explicar o relat\u00f3rio sem reduzir o SOC 2 a uma sigla brasileira que trata de outro objeto.<\/p>\n\n\n\n

Como a ISO 27001 simplificou o nosso SOC 2?<\/h2>\n\n\n\n

Se eu tivesse que apontar a decis\u00e3o que mais economizou esfor\u00e7o, escolheria ter feito a ISO 27001 primeiro. Chegamos ao SOC 2 Tipo 1 com um SGSI em funcionamento, riscos tratados, pol\u00edticas aprovadas e uma auditoria externa no retrovisor.<\/p>\n\n\n\n

The ISO\/IEC 27001:2022<\/a> define os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gest\u00e3o de seguran\u00e7a da informa\u00e7\u00e3o. Na pr\u00e1tica, ela j\u00e1 havia organizado boa parte da governan\u00e7a que o novo projeto precisaria encontrar.<\/p>\n\n\n\n

Tamb\u00e9m t\u00ednhamos uma base documental. Pol\u00edtica de seguran\u00e7a, gest\u00e3o de ativos, controle de acesso, avalia\u00e7\u00e3o de fornecedores, resposta a incidentes, continuidade, mudan\u00e7as, auditoria interna e tratamento de n\u00e3o conformidades j\u00e1 faziam parte da rotina. Quem quiser aprofundar essa estrutura pode consultar o artigo da Dattos sobre ISO 27001 e gest\u00e3o de seguran\u00e7a da informa\u00e7\u00e3o<\/a>.<\/p>\n\n\n\n

O que j\u00e1 existia com o SGSI<\/strong><\/th>O que o SOC 2 ainda exigiu organizar<\/strong><\/th><\/tr><\/thead>
M\u00e9todo de avalia\u00e7\u00e3o e tratamento de riscos<\/strong><\/td>Descri\u00e7\u00e3o do sistema segundo os crit\u00e9rios aplic\u00e1veis<\/td><\/tr>
Pol\u00edticas, respons\u00e1veis e controles implementados<\/strong><\/td>Afirma\u00e7\u00e3o formal da administra\u00e7\u00e3o<\/td><\/tr>
Auditorias internas e tratamento de n\u00e3o conformidades<\/strong><\/td>Delimita\u00e7\u00e3o do sistema e dos compromissos com clientes<\/td><\/tr>
Registros de revis\u00f5es, aprova\u00e7\u00f5es e resultados<\/strong><\/td>Evid\u00eancias apresentadas na estrutura esperada pelo auditor<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Havia, ainda, uma correspond\u00eancia pr\u00e1tica entre os controles. A vers\u00e3o 2022 reorganizou 93 controles de refer\u00eancia em quatro temas: organizacionais, de pessoas, f\u00edsicos e tecnol\u00f3gicos. Threat intelligence, seguran\u00e7a para servi\u00e7os em nuvem, prontid\u00e3o de TIC para continuidade, monitoramento, filtragem web e codifica\u00e7\u00e3o segura estavam entre os pontos que conversavam diretamente com riscos avaliados no SOC 2.<\/p>\n\n\n\n

A pr\u00f3pria AICPA publicou um mapeamento entre os Trust Services Criteria e a ISO 27001<\/a>. Como esse material antecede a revis\u00e3o de 2022 da norma ISO, ele funciona melhor como ponto de partida do que como resposta pronta. O mapeamento atual precisa considerar o escopo real, os controles adotados e os crit\u00e9rios contratados.<\/p>\n\n\n\n

Na Dattos, a matriz entre o Anexo A e os Trust Services Criteria se tornou uma das pe\u00e7as mais consultadas do projeto. Ela ajudou a localizar sobreposi\u00e7\u00f5es, mas tamb\u00e9m mostrou onde ainda existiam lacunas de descri\u00e7\u00e3o, evid\u00eancia ou responsabilidade.<\/p>\n\n\n\n

Foi nesse momento que o apoio da Clavis se tornou decisivo. Quem constr\u00f3i o ambiente conhece a inten\u00e7\u00e3o por tr\u00e1s de cada decis\u00e3o e pode confundir inten\u00e7\u00e3o com implementa\u00e7\u00e3o. Um olhar externo separou o que estava maduro daquilo que apenas parecia maduro no papel.<\/p>\n\n\n\n

Algumas conclus\u00f5es foram confort\u00e1veis e outras deram trabalho. Justamente por isso, a avalia\u00e7\u00e3o pr\u00e9via reduziu as surpresas na data-base.<\/p>\n\n\n\n

Minha estimativa \u00e9 que a ISO 27001 respondeu por 70% a 80% do que usamos na prepara\u00e7\u00e3o para o SOC 2 Tipo 1.<\/strong> O n\u00famero descreve a nossa jornada. Outra organiza\u00e7\u00e3o pode ter um escopo, uma arquitetura e um n\u00edvel de maturidade completamente diferentes.<\/p>\n\n\n\n

Onde erramos ao definir o escopo do SOC 2?<\/h2>\n\n\n\n

A parte que mais gerou retrabalho n\u00e3o foi um controle t\u00e9cnico. Foi o escopo. O primeiro desenho que levei para discuss\u00e3o era largo demais e inclu\u00eda sistemas que nenhum cliente contratava.<\/p>\n\n\n\n

\u00c0 primeira vista, incluir tudo parecia prudente. Na pr\u00e1tica, o relat\u00f3rio ganharia uma superf\u00edcie maior de descri\u00e7\u00e3o e teste sem responder melhor \u00e0s perguntas de quem compra o servi\u00e7o.<\/p>\n\n\n\n

Voltamos atr\u00e1s e come\u00e7amos pelo contrato do cliente. A partir dele, fizemos perguntas que pareciam mais simples, mas organizavam a fronteira correta:<\/p>\n\n\n\n