Requisiti SOC 2 per piattaforme di condivisione file nel 2026
Comprendi i requisiti di conformità SOC 2 per le piattaforme di condivisione file: criteri di servizio fiduciario, processi di audit e controlli di sicurezza.
La conformità SOC 2 per una piattaforma di condivisione file significa superare un audit indipendente rispetto ai Trust Services Criteria dell'AICPA: Sicurezza (obbligatorio), Disponibilità, Integrità del trattamento, Riservatezza e Privacy (tutti opzionali, ma Sicurezza+Riservatezza è la norma per il trasferimento file). Il Type I attesta che i controlli sono adeguatamente progettati in un momento specifico; il Type II attesta che i controlli hanno operato efficacemente per un periodo di 3-12 mesi. Per la condivisione file, il Type II è ciò che i clienti enterprise richiedono. L'aggiornamento dei Trust Services Criteria del 2022 (TSP Sezione 100A) ha rafforzato i controlli su accesso logico, gestione delle modifiche e valutazione del rischio. Pianifica 12-18 mesi per la readiness SOC 2 Type II di primo accesso.
I cinque Trust Services Criteria spiegati
Sicurezza (serie TSC CC) copre la protezione contro gli accessi non autorizzati — fisici e logici. Disponibilità (serie A) garantisce che i sistemi siano operativi quando promesso — SLA di uptime, piani DR. Integrità del trattamento (serie PI) conferma che il trattamento sia completo, valido, accurato, tempestivo e autorizzato. Riservatezza (serie C) protegge le informazioni designate come riservate. Privacy (serie P) gestisce le informazioni personali attraverso avviso, scelta, raccolta, uso, conservazione, accesso, divulgazione, qualità, monitoraggio e enforcement. Le piattaforme di condivisione file includono universalmente la Sicurezza; la maggior parte aggiunge Riservatezza e Disponibilità; la Privacy si aggiunge quando si gestiscono dati consumer; l'Integrità del trattamento è rara a meno che la piattaforma non trasformi i file.
Cosa hanno cambiato le revisioni TSC del 2022
La revisione del 2022 ha affinato i criteri comuni in nove aree (CC1-CC9). CC6 (accesso logico e fisico) ha aggiunto requisiti espliciti di autenticazione a più fattori per l'accesso amministrativo. CC7 (operazioni del sistema) ha enfatizzato il rilevamento e la risposta alle minacce. CC8 (gestione delle modifiche) ha aggiunto requisiti di rollback del deployment. CC9 (riduzione del rischio) ha aggiunto aspettative di gestione del rischio dei vendor. Per le piattaforme di condivisione file, l'impatto pratico: sono necessarie prove documentate dell'applicazione dell'MFA, del rilevamento delle minacce basato su SIEM, di pipeline di deployment reversibili e di revisioni trimestrali dei vendor. I revisori nel 2026 chiederanno narrative dei controlli e prove campionarie che corrispondano ai criteri del 2022.
Il ciclo di vita dell'audit
Fase 1: assessment di readiness (6-12 settimane). Un revisore o consulente mappa i tuoi controlli attuali sui TSC, identifica i gap e definisce l'ambito della remediation. Fase 2: remediation (3-9 mesi). Colma i gap — distribuisci MFA ovunque, implementa revisioni trimestrali degli accessi, documenta le procedure di risposta agli incidenti, stabilisci la gestione dei vendor. Fase 3: periodo di osservazione (3-12 mesi per il Type II). I controlli operano e generano prove. Fase 4: audit fieldwork (4-8 settimane). La società CPA (es. Coalfire, Schellman, Prescient Assurance, Insight Assurance) esamina le prove, intervista il personale e testa i campioni. Fase 5: emissione del report (2-4 settimane). Prevedi 50.000-200.000 $ per l'audit stesso, da 3 a 10 volte tanto per remediation e lavoro interno.
Controlli di cifratura che i revisori esaminano
Aspettati che il revisore campioni: (1) algoritmi di cifratura in uso (AES-256 a riposo, TLS 1.2+ in transito, preferibilmente TLS 1.3); (2) pratiche di gestione delle chiavi (supportate da HSM, rotazione documentata); (3) configurazione dei sistemi di archiviazione (cifratura dei bucket S3, cifratura di Azure Storage); (4) policy sul traffico di rete (punti di terminazione TLS, cipher suite); (5) cifratura lato client dove dichiarata (revisione del codice, non solo del marketing). Fornisci diagrammi dell'architettura, oggetti cifrati campione, log di rotazione delle chiavi e report di penetration test che coprano lo stack di cifratura. Le affermazioni vaghe senza supporto tecnico vengono registrate come eccezioni al controllo.
Prove sui controlli di accesso
I requisiti CC6 generano il maggior onere probatorio. I revisori vogliono: record di provisioning degli utenti collegati ai flussi di approvazione, revisioni trimestrali degli accessi controfirmate dai manager, screenshot dell'applicazione dell'MFA o esportazioni di policy, monitoraggio degli accessi privilegiati (registrazione delle sessioni per le azioni amministrative) e prova della tempestività delle terminazioni (joiner-mover-leaver entro 24 ore dal trigger HR). I provider di identità come Okta, Azure AD o Google Workspace generano la maggior parte di questo automaticamente. Gli IAM sviluppati internamente senza log di audit esportabili diventano un incubo SOC 2 — stanzia budget per una migrazione all'IdP prima che si apra la finestra di audit.
Prove sulla gestione delle modifiche e la CI/CD
CC8 richiede modifiche controllate. Una CI/CD moderna può soddisfare questo requisito con: protezione dei branch (no commit diretti al main), peer review obbligatoria (2+ approvazioni per il produzione), gate di test automatizzati, separazione dei compiti (lo sviluppatore non fa deploy in produzione senza approvazione) e capacità di rollback. Le esportazioni delle impostazioni di GitHub e GitLab, i log della pipeline CI e i record di deployment diventano prove d'audit. I revisori campionano 25-40 modifiche in produzione nel periodo di osservazione. Un hotfix non documentato può diventare un finding — documenta la procedura di break-glass e usala con parsimonia.
Risposta agli incidenti e monitoraggio
CC7 richiede rilevamento e risposta alle minacce. Prove: alert SIEM nel periodo, ticket degli incidenti che mostrano triage e risoluzione, record degli esercizi tabletop e prove delle lezioni apprese. Stack SIEM comuni per la condivisione file: Datadog Security Monitoring, Sumo Logic Cloud SIEM, Splunk Enterprise Security, Elastic Security, Panther. Qualunque sia lo strumento, il revisore chiede di vedere: regole di alert, volume degli alert nel tempo, SLA di risposta e tempi di risposta reali, e almeno due o tre incidenti con tracce forensi complete. I servizi con copertura SIEM debole vengono penalizzati anche se non si è verificato nessun incidente reale.
Gestione di vendor e sub-responsabili
CC9 ha aggiunto la gestione del rischio dei vendor. Mantieni un registro dei vendor con: nome, categoria del servizio, sensibilità dei dati, stato SOC 2 / ISO 27001, DPA o BAA on file, data dell'ultima revisione. Revisiona almeno annualmente — trimestralmente per i vendor che trattano dati sensibili. Per le piattaforme di condivisione file, i vendor tipici includono il cloud provider (AWS, GCP, OVH), la consegna email (SendGrid, Postmark), il processore di pagamento (Stripe), il monitoraggio degli errori (Sentry), le analytics (Mixpanel) e il CDN (Cloudflare, Fastly). Ognuno necessita di una valutazione documentata e di prove di una postura di sicurezza accettabile. Notifica ai clienti i cambiamenti materiali dei vendor con 30 giorni di preavviso.
Criteri Privacy per il trattamento dei dati personali
Se la piattaforma di condivisione file gestisce informazioni personali di utenti non dipendenti, aggiungere i criteri Privacy rafforza il report per il pubblico GDPR e CCPA. I 12 sotto-criteri di privacy coprono avviso, scelta e consenso, raccolta, uso e conservazione, accesso, divulgazione a terze parti, sicurezza, qualità e monitoraggio. Le prove includono la cronologia delle versioni della privacy policy, i record dei consensi, i log di gestione delle richieste degli interessati, i calendari di conservazione con conferme di cancellazione e i tassi di completamento della formazione sulla privacy. I clienti nei settori regolamentati (finanza, sanità) richiedono sempre più spesso SOC 2 + Privacy.
Conformità continua dopo il primo report
Il SOC 2 Type II è annuale — il primo report copre 3-12 mesi, i successivi coprono periodi di 12 mesi. Tra un report e l'altro, mantieni le prove in modo continuativo. Investi in compliance-as-code: Drata, Vanta, Sprinto, Secureframe, Tugboat Logic automatizzano tutti la raccolta delle prove da AWS, GitHub, Okta e i principali strumenti SaaS. Prevedi 1.000-5.000 $/mese per gli strumenti di compliance più 50.000-100.000 $ per l'audit annuale. Piattaforme di condivisione file come Box, Dropbox, Tresorit, Egnyte e HexaTransfer mantengono report SOC 2 ricorrenti; i concorrenti più piccoli senza SOC 2 ricorrente incontrano un tetto difficile nei contratti enterprise.
Il SOC 2 è fiducia acquistabile — le enterprise lo richiedono, quindi bisogna ottenerlo. Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.
Invia file di grandi dimensioni in modo sicuro con crittografia end-to-end
Trasferisci file fino a 10 GB gratuitamente con crittografia end-to-end. Nessun account necessario. I tuoi file vengono crittografati nel browser prima del caricamento — nessun altro può leggerli.
Invia un file