Requisitos SOC 2 para Plataformas de Partilha em 2026

A conformidade SOC 2 para uma plataforma de partilha de ficheiros significa passar numa auditoria independente contra os Trust Services Criteria da AICPA: Segurança (obrigatório), Disponibilidade, Integridade do Processamento, Confidencialidade e Privacidade (todos opcionais, mas Segurança+Confidencialidade é a norma para transferência de ficheiros). O Type I atesta que os controlos estão adequadamente concebidos num determinado momento; o Type II atesta que os controlos funcionaram eficazmente durante um período de 3 a 12 meses. Para partilha de ficheiros, o Type II é o que os compradores empresariais pretendem. A atualização dos Trust Services Criteria de 2022 (TSP Secção 100A) reforçou os controlos em torno do acesso lógico, gestão de alterações e avaliação de risco. Planeie 12 a 18 meses para a preparação inicial do SOC 2 Type II.

Os cinco Trust Services Criteria explicados

Segurança (série TSC CC) cobre a proteção contra acesso não autorizado — físico e lógico. Disponibilidade (série A) garante que os sistemas estão disponíveis quando prometido — SLAs de tempo de atividade, planos de recuperação de desastres. Integridade do Processamento (série PI) confirma que o processamento é completo, válido, preciso, atempado e autorizado. Confidencialidade (série C) protege a informação designada como confidencial. Privacidade (série P) trata a informação pessoal em termos de aviso, escolha, recolha, utilização, retenção, acesso, divulgação, qualidade, monitorização e execução. As plataformas de partilha de ficheiros incluem universalmente a Segurança; a maioria acrescenta Confidencialidade e Disponibilidade; a Privacidade é adicionada quando se tratam dados de consumidores; a Integridade do Processamento é incomum, a menos que a plataforma transforme ficheiros.

O que as revisões dos TSC de 2022 alteraram

A revisão de 2022 aprofundou os critérios comuns em nove áreas (CC1-CC9). O CC6 (acesso lógico e físico) acrescentou requisitos explícitos de autenticação multifator para acesso administrativo. O CC7 (operações do sistema) enfatizou a deteção e resposta a ameaças. O CC8 (gestão de alterações) acrescentou requisitos de reversão de implementações. O CC9 (mitigação de risco) acrescentou expetativas de gestão de risco de fornecedores. Para plataformas de partilha de ficheiros, o impacto prático: é necessária evidência documentada de imposição de MFA, deteção de ameaças baseada em SIEM, pipelines de implementação reversíveis e revisões trimestrais de fornecedores. Os auditores em 2026 solicitarão narrativas de controlos e evidências de amostra que correspondam aos critérios de 2022.

O ciclo de vida da auditoria

Fase 1: avaliação de prontidão (6 a 12 semanas). Um auditor ou consultor mapeia os controlos atuais para os TSC, identifica lacunas e define o âmbito da remediação. Fase 2: remediação (3 a 9 meses). Colmatar lacunas — implementar MFA em todo o lado, estabelecer revisões trimestrais de acesso, documentar procedimentos de resposta a incidentes, criar gestão de fornecedores. Fase 3: período de observação (3 a 12 meses para o Type II). Os controlos funcionam e geram evidências. Fase 4: trabalho de campo da auditoria (4 a 8 semanas). A firma CPA (por ex., Coalfire, Schellman, Prescient Assurance, Insight Assurance) examina evidências, entrevista pessoal e testa amostras. Fase 5: emissão do relatório (2 a 4 semanas). Preveja 50.000 € a 200.000 € para a auditoria em si, 3 a 10 vezes mais para remediação e trabalho interno.

Controlos de encriptação que os auditores examinam

Espere que o auditor colete amostras de: (1) algoritmos de encriptação em uso (AES-256 em repouso, TLS 1.2+ em trânsito, idealmente TLS 1.3); (2) práticas de gestão de chaves (com suporte HSM, rotação documentada); (3) configuração dos sistemas de armazenamento (encriptação de bucket S3, encriptação Azure Storage); (4) políticas de tráfego de rede (pontos de terminação TLS, conjuntos de cifras); (5) encriptação do lado do cliente quando reivindicada (revisão do código, não apenas do marketing). Forneça diagramas de arquitetura, objetos encriptados de amostra, registos de rotação de chaves e relatórios de testes de penetração que cubram a pilha de encriptação. Afirmações vagas sem suporte técnico são registadas como exceções de controlo.

Evidências de controlo de acesso

Os requisitos do CC6 geram o maior volume de evidências. Os auditores pretendem: registos de provisionamento de utilizadores vinculados a fluxos de trabalho de aprovação, revisões trimestrais de acesso assinadas por gestores, capturas de ecrã ou exportações de políticas de imposição de MFA, monitorização de acesso privilegiado (gravação de sessão para ações de administrador), e prova de tempestividade de rescisão (entrada-movimentação-saída em 24 horas após acionamento de RH). Os fornecedores de identidade como Okta, Azure AD ou Google Workspace geram a maioria disto automaticamente. A IAM desenvolvida internamente sem registos de auditoria exportáveis torna-se um pesadelo para o SOC 2 — alocar orçamento para uma migração de IdP antes de a janela de auditoria abrir.

Evidências de gestão de alterações e CI/CD

O CC8 exige alterações controladas. O CI/CD moderno pode satisfazer isto com proteção de ramos (sem commits diretos para o principal), revisão por pares obrigatória (2+ aprovações para produção), barreiras de testes automatizados, separação de funções (o programador não implementa em produção sem aprovação), e capacidade de reversão. As exportações de definições do GitHub e GitLab, os registos de pipeline de CI e os registos de implementação tornam-se evidências de auditoria. Os auditores coletam amostras de 25 a 40 alterações em produção durante o período de observação. Uma correção urgente não documentada pode tornar-se uma constatação — documente o procedimento de emergência e utilize-o raramente.

Resposta a incidentes e monitorização

O CC7 exige deteção e resposta a ameaças. Evidências: alertas SIEM durante o período, tickets de incidentes que mostrem triagem e resolução, registos de exercícios de simulação, e evidência de lições aprendidas. Pilhas SIEM comuns para partilha de ficheiros: Datadog Security Monitoring, Sumo Logic Cloud SIEM, Splunk Enterprise Security, Elastic Security, Panther. Independentemente da ferramenta, o auditor pergunta: regras de alerta, volume de alertas ao longo do tempo, SLAs de resposta e tempos de resposta reais, e pelo menos dois ou três incidentes com trilhos forenses completos. Os serviços com cobertura SIEM fraca são penalizados mesmo que não tenha ocorrido nenhum incidente real.

Gestão de fornecedores e sub-subcontratantes

O CC9 acrescentou a gestão de risco de fornecedores. Mantenha um registo de fornecedores com: nome, categoria de serviço, sensibilidade dos dados, estatuto SOC 2 / ISO 27001, CS ou BAA em arquivo, data da última revisão. Reveja anualmente no mínimo — trimestralmente para fornecedores que tratam dados sensíveis. Para plataformas de partilha de ficheiros, os fornecedores incluem tipicamente o fornecedor de cloud (AWS, GCP, OVH), entrega de e-mail (SendGrid, Postmark), processamento de pagamentos (Stripe), monitorização de erros (Sentry), análises (Mixpanel) e CDN (Cloudflare, Fastly). Cada um precisa de avaliação documentada e evidência de postura de segurança aceitável. Notifique os clientes de alterações relevantes de fornecedores com 30 dias de antecedência.

Critérios de Privacidade no tratamento de dados pessoais

Se a plataforma de partilha de ficheiros trata informações pessoais de utilizadores que não são colaboradores, acrescentar os critérios de Privacidade reforça o relatório para públicos RGPD e CCPA. Os 12 subcritérios de privacidade cobrem aviso, escolha e consentimento, recolha, utilização e retenção, acesso, divulgação a terceiros, segurança, qualidade, e monitorização e execução. As evidências incluem o histórico de versões da política de privacidade, registos de consentimento, registos de tratamento de pedidos dos titulares, calendários de retenção com confirmações de eliminação, e taxas de conclusão de formação em privacidade. Os clientes em setores regulamentados (finanças, saúde) exigem cada vez mais SOC 2 + Privacidade.

Conformidade contínua após o primeiro relatório

O SOC 2 Type II é anual — o primeiro relatório cobre 3 a 12 meses, os relatórios subsequentes cobrem períodos de 12 meses. Entre relatórios, mantenha as evidências de forma contínua. Invista em conformidade como código: Drata, Vanta, Sprinto, Secureframe e Tugboat Logic automatizam a recolha de evidências do AWS, GitHub, Okta e principais ferramentas SaaS. Preveja gastar 1.000 € a 5.000 €/mês em ferramentas de conformidade mais 50.000 € a 100.000 € na auditoria anual. Plataformas de partilha de ficheiros como Box, Dropbox, Tresorit, Egnyte e HexaTransfer mantêm relatórios SOC 2 recorrentes; os concorrentes de menor dimensão sem SOC 2 recorrente enfrentam um teto rígido nos negócios empresariais.

Constatações comuns e como as evitar

As principais constatações SOC 2 para plataformas de partilha de ficheiros: (1) revisões de acesso incompletas — resolva com fluxos de trabalho de revisão trimestrais integrados com IdP; (2) alterações de emergência não documentadas — resolva com um modelo de ticket de emergência; (3) revisões de fornecedores em falta — resolva com o módulo de fornecedores de uma ferramenta de conformidade; (4) exceções de MFA — resolva impondo MFA no IdP, sem exceções; (5) documentação desatualizada — resolva com proprietários de documentação e datas de revisão trimestrais. Aborde estes proativamente e a auditoria torna-se uma formalidade em vez de uma batalha.

O SOC 2 é confiança adquirida — as empresas exigem-no, por isso conclua o processo. Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.