O que é a SOC 2?

Uma postura de segurança robusta e positiva é vital numa época em que ataques cibernéticos proliferam. Ameaças virtuais, como ransomware e phishing, continuam desafiando empresas de todos os portes e setores. Além disso, ataques à cadeia de suprimentos se tornaram um problema sério, com pesquisas do Fórum Econômico Mundial revelando que 90% dos entrevistados estavam preocupados com a resiliência cibernética de terceiros. Estruturas regulamentares são concebidas para ajudar a orientar empresas na implementação de uma postura de segurança robusta. Uma dessas estruturas é a SOC 2 (System and Organization Controls 2, Sistema de organização e controle 2), que trabalha para estabelecer riscos e melhorar a eficácia operacional.

A SOC 2 teve origem no AICPA (American Institute of Certified Public Accountants, instituto americano de contadores públicos certificados) e surgiu no escopo dos critérios de Serviços de Confiança da AICPA, que facilitam a auditoria e a geração de relatórios sobre controles que uma organização de serviços usa para proteger informações. Os relatórios da SOC 2 capturam segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade dos dados. Além disso, os relatórios da SOC 2 garantem que controles usados pela organização de serviço possam atender a alguns ou todos os cinco critérios da SOC 2.

O gerenciamento de riscos deve se estender a terceiros. A SOC 2 oferece uma estrutura para verificar se uma organização de serviços atingiu e pode manter uma segurança de informações robusta e mitigar incidentes de segurança. A SOC 2 é usada para auditar a postura de segurança de fornecedores terceirizados, a fim de garantir que atendam ao nível de proteção esperado por sua organização.

As soluções de segurança da Akamai oferecem inteligência e proteção completa para proteger dados contra violações e exposição acidental, além de impedir o acesso não autorizado com uma aplicação robusta de política de controle de acesso. A Akamai ajuda suas equipes de segurança a maximizar a eficácia e o ROI de seus investimentos em segurança, indo além da detecção tradicional de endpoints para oferecer uma poderosa solução Zero Trust de proteção e privacidade de dados. 

A Akamai oferece:

• Uma plataforma global que impõe uma segurança Zero Trust com cobertura abrangente de seu ambiente de TI
• Visibilidade profunda de ativos, acesso e fluxos de rede
• Aplicação granular da política de segurança e proteção de informações de identificação pessoal, ou PII (Personally Identifiable Information, informação pessoalmente identificável)

A auditoria da SOC 2 abrange cinco aspetos do tratamento de dados que, quando implementado corretamente, formarão uma postura de segurança cibernética coerente e robusta. A Força tarefa de integridade das Informações de confiança ASEC é responsável pela precisão técnica dos critérios de serviços de confiança, ou TSC (Trust Services Criteria, critérios de serviços de confiança ). AICPAs O Comitê executivo de serviços de garantia é responsável pelos TSC e descreve os cinco Critérios de serviços de confiança da SOC 2 da seguinte forma:

1. Segurança: proteção de dados e segurança do sistema contra acesso não autorizado e exposição de dados. A segurança também inclui proteção contra danos ao sistema que podem resultar na perda de disponibilidade, integridade e confidencialidade dos dados.
2. Disponibilidade: confiabilidade dos sistemas necessários para que a pessoa jurídica mantenha as operações.
3. Integridade do processamento: o processamento do sistema deve ser completo, válido, preciso, oportuno e autorizado.
4. Confidencialidade: dados classificados como "confidenciais" devem ser protegidos para cumprir os objetivos da entidade.
5. Privacidade: informações devem ser coletadas, usadas, retidas, divulgadas e descartadas para atender aos objetivos da entidade em relação à privacidade de dados.

Um provedor de serviços demonstrando a conformidade com alguns ou todos os cinco princípios de serviço confiável (conforme apropriado) mostra o compromisso com a segurança das informações.

A SOC 2 se aplica a prestadores de serviços de tecnologia ou empresas SaaS que armazenam, processam ou lidam com dados de clientes. A SOC 2 se estende a outros fornecedores terceirizados que processam ou fornecem dados e aplicativos, sendo usada para demonstrar que sistemas e proteções implementados podem garantir a integridade dos dados. A conformidade com a SOC 2 pode ajudar a tomar decisões de compra e faz parte dos riscos associados ao gerenciamento de fornecedores.

Provedores de serviços de nuvem e TI

De acordo com Thales e 451 pesquisa, 66% das empresas armazenam até 60% de seus dados confidenciais na nuvem. Além disso, o número de empresas que enfrentam uma violação de dados envolvendo um aplicativo em nuvem aumentou de 35% em 2021 para 45% em 2022. Demonstrar conformidade com a SOC 2 permite que um fornecedor de tecnologia prove que usa controles de segurança, como a autenticação de dois fatores. Esse é um diferencial competitivo essencial em uma época em que a segurança de nuvem e TI são áreas de serviço de alto risco. Violações de segurança na nuvem que afetam toda a cadeia são cada vez mais comuns; provedores de serviços de nuvem e TI que demonstra a conformidade com a SOC 2 provará que a segurança das informações é um valor fundamental.

Clientes de provedores de serviços de nuvem e TI

Ao escolher um fornecedor com garantia SOC 2 comprovada, sua organização terá uma auditoria transparente com relatórios SOC definindo os riscos e controles usados pelo fornecedor terceirizado. Esses padrões e medidas de segurança das informações serão integrados à sua organização, fornecendo a garantia de segurança de dados necessária para os padrões internos e requisitos normativos.

Outros fornecedores de cadeia de suprimentos conectados

Ataques à cadeia de abastecimento aumentaram mais de 600% em 2021/2022. Ataques como o MOVEit Transfer de dia zero provaram o impactos e a amplitude desses ataques. Pesquisa de segurança da Akamai sobre o ataque MOVEit encontrou números alarmantes de servidores vulneráveis voltados para a Internet. Esses tipos de vulnerabilidades são alvos de criminosos virtuais que usam fornecedores de cadeia de suprimentos para acessar redes lucrativas mais altas na cadeia. Fornecedores da cadeia de suprimentos que comprovam a conformidade com a SOC 2 podem demonstrar seu compromisso com a segurança dos dados.

A Akamai oferece uma família abrangente de soluções que oferece segurança Zero Trust para ajudar na conformidade com a SOC 2, fornecendo os meios para alcançar os critérios de Serviços de confiança da SOC 2. Nossas soluções de segurança líderes são reconhecidas como as melhores por nossos clientes, que usam a Akamai para proteger dados confidenciais em todo o ambiente de TI moderno e ampliado. O portfólio de segurança da Akamai cresceu de uma coleção de soluções pontuais para uma plataforma Zero Trust abrangente e poderosa. As soluções de classe mundial da empresa oferecem controles de segurança necessários para atender aos requisitos SOC 2 de segurança, disponibilidade, integridade, confidencialidade e privacidade de dados. A Akamai oferece visibilidade profunda do seu ambiente de TI, ativos críticos, requisitos de acesso e fluxo de rede em toda a sua infraestrutura expandida, incluindo fornecedores.

O controle de acesso e autorização para usar dados é um aspecto crítico da segurança das informações sob a SOC 2. Desenvolvendo uma abordagem Zero Trust para a segurança dos dados é uma maneira de mapear todos os cinco Critérios de serviços de confiança para medidas de segurança robustas.

Medidas de segurança da SOC 2 usadas na criação de uma abordagem de segurança Zero Trust incluem:

• Gerenciamento de identidade e acesso de seres humanos e dispositivos
• Proteção de API em todo o fluxo de dados e ecossistemas
• A MFA (Autenticação multifator)
• Detecção de invasões
• Visibilidade e monitoramento para aplicar autorização proporcional
• Direitos de privilégio mínimo para minimizar o acesso aos dados
• Criptografia de dados