Conformidade: SOC 2 Tipo II
Este curso trata o SOC 2 Tipo II como uma atestação: a opinião de um auditor, com escopo negociado, entregue como um relatório que o cliente lê sob NDA. Ele explica as quatro seções, os tipos de opinião e as exceções da matriz de testes de controles. O período de observação é tratado como a principal restrição de engenharia, com as evidências mensais de um time Rails. Também cobre os critérios, os controles complementares, as organizações subcontratadas, a preparação, o custo e a comparação com a ISO 27001.
O que você vai aprender
- ✓Como ler as quatro seções de um relatório SOC 2, os tipos de opinião e as exceções
- ✓Por que o período de observação exige que os controles operem em todos os meses da janela
- ✓Quais registros datados um time Rails gera como evidência para uma auditoria Tipo II
- ✓Como cada Trust Services Criterion acrescentado vira escopo a sustentar
- ✓O que são controles complementares da entidade usuária e os métodos de exclusão e inclusivo
- ✓Como se encaixam avaliação de lacunas, preparação e custo de engenharia, e como o SOC 2 se compara à ISO 27001
O relatório é o produto
A lição 6 do curso de nível Sênior "Conformidade: o panorama regulatório" traçou a linha em que este curso inteiro se apoia. SOC 2 é uma atestação, e não uma certificação. "Certificado em SOC 2" é um erro de categoria, mesmo sendo a frase que a maioria dos engenheiros usa. O curso de nível Sênior…
Ler a aula completa grátis →Currículo
7 aulasO relatório é o produto
O SOC 2 é uma atestação entregue como relatório de quatro seções, e o período de observação define o Tipo II.
Lendo o relatório: opiniões e exceções
Os quatro tipos de opinião, onde ficam as exceções na matriz de testes e por que ler primeiro a descrição do sistema.
O período de observação: contínuo, não uma foto
O auditor tira amostras de uma janela de três a doze meses, então a evidência precisa vir do trabalho normal.
Evidência como artefato de build
Revisões de acesso, histórico de PRs, tickets de saída, varreduras, restaurações e incidentes como evidência datada e atribuível.
Escolhendo critérios e o custo do escopo
Segurança é obrigatória, os outros quatro critérios são escolhidos, e cada um exige evidências durante todo o período.
Controles complementares e organizações subcontratadas
Por que o SOC 2 do provedor de nuvem não cobre sua aplicação, e a diferença entre exclusão e método inclusivo.
SOC 2 ou ISO 27001: fechando o bloco de conformidade
Avaliação de lacunas, preparação, custo recorrente de engenharia, cartas-ponte e a comparação entre SOC 2 e ISO 27001.