Pentest para o seu relatório SOC 2

O que o SOC 2 pede — e onde entra o pentest

SOC 2 não é uma certificação. É um relatório de asseguração, escrito e assinado por uma firma de CPA licenciada, sobre como seus controles se mapeiam aos Trust Services Criteria do AICPA — os critérios de 2017, ainda vigentes, com seus pontos de foco revisados em 2022. Em nenhum lugar desses critérios o pentest é nomeado como controle obrigatório. Ele aparece uma única vez, como um entre vários tipos de avaliação que a gestão pode executar. Essa única menção é a razão pela qual quase toda auditoria SOC 2 inclui um mesmo assim.

Um relatório Type I descreve se seus controles estão adequadamente desenhados em uma data específica. Um Type II diz se eles operaram de forma eficaz ao longo de um período de observação, normalmente de três a doze meses. Para um Type I, um relatório de teste recente costuma bastar. No Type II o auditor está amostrando uma janela — e um único teste datado quatro semanas antes de essa janela abrir não diz nada sobre os meses seguintes.

CC4.1 — Atividades de monitoramento. Espera-se que a gestão execute avaliações contínuas e separadas confirmando que o controle interno está presente e funcionando. Os pontos de foco listam as opções: auditoria interna, avaliações de conformidade, varreduras de vulnerabilidade, avaliações de segurança e pentest. É um cardápio, não uma obrigação — e o pentest é o item desse cardápio que o auditor reconhece mais rápido.

CC7.1 — Detecção. Você precisa detectar mudanças de configuração que introduzam novas vulnerabilidades e identificar as recém-descobertas nos seus componentes. A varredura cumpre a letra da exigência. O teste que encadeia achados até um exploit funcionando é o que mostra quais dessas vulnerabilidades realmente importam.

Dependendo do seu escopo, os critérios de controle de acesso do CC6 e os de incidentes do CC7.2 também se apoiam em evidência de teste: controles que resistem a tentativas reais de burlá-los, e anomalias que são detectadas em vez de apenas registradas.

No Brasil, a maioria dos programas de SOC 2 não começa por uma meta de segurança. Começa porque um prospect enterprise nos Estados Unidos não assina sem o relatório: a fintech, o SaaS ou a empresa de meios de pagamento que quer vender lá fora descobre que o SOC 2 é a porta de entrada. É esse prazo que acaba definindo a decisão de teste: contrata-se o teste mais barato que tapa o buraco, chega um PDF, e no Type II aparece que o auditor queria evidência do período inteiro, e não um documento com uma data só.

Escopo e metodologia, as qualificações de quem testou, cada achado com sua severidade, a data em que foi corrigido e a evidência de que a correção foi reavaliada e se manteve. No Type II as datas importam mais do que qualquer outra coisa: o auditor está checando se a sua evidência cobre a janela de observação, e não apenas as bordas dela.

A Strike não emite relatórios SOC 2 e nunca vai emitir — só uma firma de CPA licenciada pode. O que a Strike entrega é a evidência técnica por trás deles: pentest contínuo executado por IA e validado por hackers especialistas, com 97% de precisão e menos de 3% de falsos positivos, um reteste documentado anexado a cada achado, e uma trilha de evidência datada que dura todo o seu período de observação, em vez de parar depois de uma única contratação.

SOC 2 e pentest, em perguntas

O SOC 2 exige pentest?

Não. Os Trust Services Criteria nunca listam o pentest como controle obrigatório. Ele aparece como um dos exemplos de avaliações que a gestão pode executar sob o CC4.1, junto com varreduras de vulnerabilidade, auditoria interna e avaliações de conformidade. Na prática a maioria dos auditores pede, e a maioria dos compradores que lê o seu relatório espera ver.

Type I ou Type II — o que muda para o teste?

O Type I examina o desenho dos controles em uma única data, então um relatório de teste recente costuma bastar. O Type II examina a eficácia operacional ao longo de três a doze meses, então o auditor quer evidência distribuída nessa janela. É exatamente aí que o teste anual começa a ficar curto e o teste contínuo começa a se pagar.

Que evidência eu entrego ao auditor?

O relatório, mais escopo, metodologia, qualificações dos testadores, severidades, datas de remediação e evidência do reteste. Se seus achados aparecem corrigidos e reverificados com datas dentro do período de observação, a conversa é curta.

Quando vale testar?

Antes de a janela de observação abrir, se você vai para um Type II, e depois continuamente ao longo dela. Testar só no fim deixa os primeiros meses sem evidência, e um achado crítico descoberto tarde vira uma corrida de remediação contra a data do seu relatório.

A Strike emite o relatório SOC 2?

Não. Relatórios SOC 2 são emitidos por firmas de CPA licenciadas depois do exame delas. A Strike entrega a evidência de pentest, os registros de reteste e a documentação pronta para auditoria em que esse exame se apoia.

Quanto custa e quanto tempo leva?

A Strike é uma assinatura contínua dimensionada pela sua superfície de ataque, e não um projeto de preço fechado — então o custo acompanha o escopo e os ativos. O setup leva menos de 5 minutos assim que as informações do alvo e os acessos estiverem prontos, e os primeiros achados costumam chegar em 1–2 horas depois que o teste começa, para escopos suportados — rápido o suficiente quando tem um negócio esperando o relatório.