SOC 2, le evidenze che il revisore chiede
I controlli e le prove della loro continuità, raccolti settimana per settimana e non ricostruiti alla vigilia della visita.
Un requisito di mercato, non di legge
SOC 2 è uno standard di attestazione sviluppato dall'American Institute of CPAs (AICPA). Lo chiedono soprattutto i clienti statunitensi e internazionali ai fornitori di servizi, in particolare di software e cloud, prima di affidare loro i propri dati.
A differenza delle norme ISO, l'esito non è un certificato: è un rapporto di un revisore indipendente che descrive i controlli e ne giudica l'efficacia. Per un'azienda italiana che vende software all'estero è spesso la condizione per entrare in gara.
Chi ha già lavorato sulla ISO/IEC 27001 parte avvantaggiato: buona parte dei controlli si sovrappone.
Trust Services Criteria e rapporto di tipo I o II
I controlli si organizzano sui cinque Trust Services Criteria. La sicurezza è sempre inclusa; gli altri si scelgono in base al servizio offerto.
- Sicurezza: protezione da accessi e modifiche non autorizzati
- Disponibilità: il servizio è operativo come concordato
- Integrità del trattamento: elaborazioni complete, accurate e autorizzate
- Riservatezza: protezione delle informazioni classificate come riservate
- Privacy: raccolta, uso e conservazione dei dati personali
- Tipo I: i controlli sono progettati bene, in un momento preciso
- Tipo II: i controlli hanno funzionato per tutto un periodo di osservazione
- Evidenze per ogni controllo, per tutto il periodo
SOC 2 Type II: la continuità documentata da sé
La differenza fra tipo I e tipo II è la continuità, ed è lì che le aziende si fermano: nessuno ha conservato le prove. Dottor Box le conserva mentre lavora.
| Esigenza SOC 2 | Come la copre Dottor Box |
|---|---|
| Misura del divario | Gap analysis sui Trust Services Criteria, su copertura e maturità |
| Continuità dei controlli | Time Machine: calendario degli ultimi 180 giorni e report tecnico archiviato ogni settimana, il mercoledì notte |
| Gestione delle vulnerabilità | Vulnerability Assessment con storico versionato e confronto fra periodi |
| Accessi logici | Microsoft Entra ID, Google Workspace e Log accessi |
| Rischio e fornitori | Risk Assessment e Supply Chain |
| Incidenti | Incident Response e Data Breach con fasi e responsabili |
| Disponibilità e continuità | Continuità operativa: BIA, piano di continuità e verifica dei backup |
| Consapevolezza del personale | Formazione con il registro dei corsi svolti |
Il periodo di osservazione è già documentato
Criteri valutati
Un'autovalutazione sui Trust Services Criteria per sapere da dove partire.
Prove nel tempo
Le date vengono da ciò che è stato davvero eseguito, non dalle code di lavoro.
Buchi visibili
I mesi senza attività non vengono nascosti: un vuoto di copertura lo vedi prima del revisore.
Report da consegnare
Il report tecnico di ogni settimana, scaricabile mese per mese.
Quando arriva il revisore non serve ricostruire sei mesi di controlli: sono già in archivio, con la loro data.
SOC 2: domande frequenti
Meglio SOC 2 o ISO 27001?
Dipende da chi te lo chiede. I clienti statunitensi chiedono spesso SOC 2, quelli europei la ISO/IEC 27001. I controlli si sovrappongono in buona parte: il lavoro fatto per una serve anche all'altra.
Quanto dura il periodo di osservazione di un SOC 2 Type II?
Lo concordi con il revisore; periodi di alcuni mesi sono comuni. Quello che conta è avere evidenze per tutto il periodo, ed è ciò che lo storico di Dottor Box conserva.
Dottor Box sostituisce il revisore?
No. Il rapporto SOC 2 lo emette un revisore indipendente. La piattaforma ti aiuta a prepararti, a capire dove sono i buchi e a consegnare evidenze ordinate e datate.
I moduli che lavorano per SOC 2
Time Machine
Il calendario dei controlli degli ultimi 180 giorni e l'archivio dei report settimanali.
Scopri di più VedereVulnerability Assessment
Sei controlli dall'interno e dall'esterno, con severità CVSS, storico e avvisi sulle novità.
Scopri di più VedereMicrosoft Entra ID
La postura di sicurezza del tenant Microsoft 365 su 72 indicatori, in sola lettura.
Scopri di più GovernareRisk Assessment
Analisi dei rischi impostata su ISO/IEC 27005, con piano di trattamento e rischio residuo.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di più DimostrareReport Rischi Informatici
Il report periodico in PDF, presentazione ed Excel, con i capitoli che scegli.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.