Sicurezza sempre, il resto se ti impegni
I criteri comuni da CC1 a CC9 fanno parte di ogni report. Disponibilità, Riservatezza, Integrità dell'elaborazione e Privacy si aggiungono quando prendi impegni con i clienti in questi ambiti.
AICPA · Trust Services Criteria 2017 (revisione 2022)
Arriva preparato al tuo report SOC 2.
I tuoi clienti statunitensi ti chiedono un report SOC 2 e non sai da dove partire. Audexa percorre con te i 61 criteri, ti dice cosa esaminerà l'auditor CPA e quali evidenze ti servono nel periodo, e trasforma ogni lacuna in un'attività con un responsabile.
- 61 criteri dei servizi di fiducia
- Sicurezza + le categorie che scegli
- Evidenze per Tipo I e Tipo II
Preparazione SOC 2Tipo II
64%
PreparazioneDati di esempio
- CC1–CC2 Ambiente di controllo e informazione78%
- CC3–CC5 Rischi, monitoraggio e controlli66%
- CC6 Accesso logico e fisico58%
- CC7–CC9 Operatività, modifiche e fornitori61%
- A1 Disponibilità52%
61 criteri dei Trust Services Criteria, con cosa verifica l'auditor CPA
135 corrispondenze SOC 2 ↔ ISO 27001 per riutilizzare le risposte
111 corrispondenze SOC 2 ↔ NIST CSF 2.0
5 lingue: italiano, inglese, spagnolo, francese e tedesco
Cos'è SOC 2
SOC 2 non è un certificato: è un report firmato da un auditor CPA.
Un report SOC 2 descrive il tuo sistema e riporta il giudizio di un auditor indipendente sui tuoi controlli, misurati rispetto ai criteri dei servizi di fiducia dell'AICPA. Lo chiedono soprattutto i clienti statunitensi prima di firmare con un fornitore SaaS o di servizi.
Tipo I: il disegno a una data
L'auditor verifica che i controlli siano disegnati e attivi a una data precisa. È il primo passo abituale per chi non ha mai avuto un report.
Tipo II: il funzionamento in un periodo
L'auditor estrae campioni lungo un periodo concordato e chiede la prova che ogni controllo abbia funzionato. Un'accettazione non firmata o una revisione degli accessi saltata diventa un'eccezione.
Descrizione del sistema
La direzione descrive il servizio, i suoi confini, l'infrastruttura, le persone e i dati. Questa descrizione fa parte del report e deve coincidere con ciò che vede l'auditor.
Controlli complementari del cliente (CUEC)
Alcune responsabilità restano ai tuoi clienti, come gestire i propri utenti o attivare la MFA. Il report le elenca: conviene averle chiare e pubblicate.
Organizzazioni subfornitrici
Se dipendi da AWS, Azure, GCP o altri fornitori, decidi se restano fuori dal perimetro (carve-out) o dentro (inclusive) e raccogli i loro report SOC 2.
Come ti aiuta Audexa
Da «un cliente ci chiede il SOC 2» a un piano da mostrare all'auditor.
Un questionario guidato, criterio per criterio, con ciò che si aspetta l'auditor, collegato ad attività, policy ed evidenze.
Valutare
Sai quali criteri copri e quali no.
Categorie del report
Prima di iniziare scegli le categorie; la Sicurezza è sempre inclusa. Il questionario mostra solo i criteri del tuo report.
Guida dell'auditor CPA
Ogni criterio spiega cosa chiederà l'auditor e cosa cambia tra Tipo I e Tipo II.
Sì, Parziale, No o Non applicabile
Rispondi controllo per controllo e indichi l'applicabilità con la sua motivazione.
Preparare
Ogni rilievo diventa lavoro con un responsabile.
Come soddisfarlo
Passi concreti, evidenze attese, responsabile suggerito, criterio di chiusura e quando rivederlo.
Piano di attività
Le lacune diventano attività con sottoattività, responsabile e date.
Policy di partenza
67 modelli di policy per non partire da zero. 5 sono collegati a SOC 2: «Politica sulla sicurezza delle informazioni», «Politica di controllo degli accessi», «Politica di risposta agli incidenti», «Politica di gestione del cambiamento» e «Procedura di catalogo dei servizi, livelli di servizio e capacità».
Dimostrare
Tieni a portata di mano ciò che chiederà l'auditor.
Archivio delle evidenze
Conserva le prove di funzionamento del periodo accanto al criterio a cui rispondono.
Report PDF ed Excel
Punteggio, rilievi e piano d'azione da condividere con la direzione o con l'auditor.
Riaudit
Ripeti la valutazione man mano che chiudi le lacune e confronta i progressi prima della finestra del report.
Alcune funzionalità dipendono dal piano e dai moduli attivi.
Domanda preliminare
Scegli le categorie del report e vedi solo ciò che ti riguarda.
La Sicurezza (da CC1 a CC9) è sempre inclusa. Aggiungi Disponibilità se offri uno SLA, Riservatezza se firmi clausole di riservatezza, Integrità dell'elaborazione se calcoli o trasmetti transazioni critiche e Privacy se tratti dati personali. Prima di iniziare vedi quante domande avrà il tuo questionario.
- CC1–CC9: ambiente di controllo, rischi, accessi, operatività, modifiche e fornitori
- A1 Disponibilità: capacità, backup e disaster recovery
- C1 Riservatezza e PI1 Integrità dell'elaborazione
- P1–P8 Privacy: informativa, consenso, conservazione, accesso e violazioni
Categorie del report SOC 2Domanda preliminare
- Sicurezza (CC1–CC9)33 criteri · sempre
- Disponibilità (A1)3 criteri
- Riservatezza (C1)2 criteri
- Integrità dell'elaborazione (PI1)5 criteri
- Privacy (P1–P8)18 criteri
Tipo I e Tipo II
Quali evidenze chiederà l'auditor, e per quanto tempo.
Per il Tipo I basta dimostrare che il controllo è disegnato e funziona a una data. Per il Tipo II l'auditor campiona il periodo: ingressi e uscite del personale, revisioni degli accessi, modifiche rilasciate, incidenti. Ogni criterio di Audexa ti dice quale campione aspettarti e quale traccia conservare.
- Il documento o il registro che l'auditor chiede per ogni criterio
- Cosa serve per il Tipo I e cosa aggiunge il Tipo II
- Gli errori tipici che finiscono in eccezione
- Evidenze attese e criterio di chiusura per controllo
CC6.2 Creazione e rimozione delle utenzeTipo II
- Procedura di ingressi e uscite approvataDisegno · Tipo I
- Campione di uscite del periodoFunzionamento · Tipo II
- Accessi revocati nei tempi2 casi senza registro
- Responsabile suggeritoIT / HR
Hai già la ISO 27001?
Sfrutta il lavoro già fatto per ISO 27001 e NIST CSF.
Quando crei l'audit SOC 2, Audexa stima quanto coprono già i tuoi altri audit. Le risposte con una corrispondenza a copertura alta arrivano proposte con l'indicazione «Rivedilo» e una persona le conferma. Non sono equivalenze automatiche: l'auditor CPA testerà comunque i tuoi controlli.
- 135 corrispondenze con ISO/IEC 27001:2022
- 111 corrispondenze con NIST CSF 2.0
- «Ciò che hai già copre ~X%» prima di iniziare
- Solo la copertura alta propone un «Sì», e qualcuno lo rivede sempre
Corrispondenze SOC 2 ↔ ISO 27001135 coppie
- CC6.3 ↔ A.5.15 Controllo degli accessiCopertura alta · Sì proposto
- CC7.2 ↔ A.8.15 Registrazione dei logCopertura alta · Sì proposto
- CC1.1 ↔ A.6.2 Termini e condizioni di impiegoCopertura parziale · nessuna proposta
- Risposta proposta«Rivedilo» · conferma una persona
Come funziona
Tre passi per arrivare dall'auditor con i compiti fatti.
Definisci il perimetro
Scegli le categorie del report, guarda quanto copre ciò che hai già e indica l'applicabilità di ogni criterio.
Valuta con la guida dell'auditor
Rispondi criterio per criterio sapendo quali evidenze chiederà il CPA nel Tipo I e nel Tipo II.
Chiudi le lacune e raccogli le evidenze
Assegna attività, approva le policy, conserva le prove del periodo e ripeti la valutazione prima dell'audit.
Piani
SOC 2 è incluso dal piano Premium.
I piani Free e Core non includono SOC 2. Il prezzo dipende dalle dimensioni del tuo team: nella demo ti diamo un'offerta a prezzo chiuso.
Premium
ConsigliatoPer preparare SOC 2 con un team piccolo.
- SOC 2 e gli altri nuovi framework della 1.6.1
- 10 audit al mese e 3 utenti
- Policy, evidenze, attività e riaudit
- Report PDF ed Excel e assistente Aude
- 200 asset per sezione
Diamond
Per più framework e team senza limiti.
- Audit e utenti illimitati
- Tutto ciò che include Premium
- Asset illimitati
- vRadar: esposizione CVE dell'inventario
Prima e dopo
Preparare SOC 2 con i fogli di calcolo o con Audexa.
AreaSenza piattaformaCon Audexa
Perimetro
Dubbi su quali categorie includere
Domanda preliminare con la Sicurezza sempre inclusa
Cosa vuole l'auditor
Lo scopri alla prima riunione
Guida Tipo I e Tipo II in ogni criterio
Lacune
Elenchi senza responsabile né data
Attività con sottoattività, responsabile e criterio di chiusura
Evidenze del periodo
Screenshot sparsi in cartelle
Archivio delle evidenze collegato a ogni criterio
ISO 27001
Rifare tutto da zero
135 corrispondenze da rivedere
Domande frequenti
Le domande che ci fanno più spesso su SOC 2.
Audexa emette il report SOC 2?
No. Solo un auditor CPA indipendente può emettere un report SOC 2. Audexa ti aiuta a prepararti: autovalutazione guidata, piano d'azione ed evidenze ordinate per quando inizia l'audit.
Che differenza c'è tra SOC 2 Tipo I e Tipo II?
Il Tipo I valuta il disegno dei controlli a una data precisa. Il Tipo II valuta anche che abbiano funzionato in un periodo, con campioni di quel periodo. Audexa spiega in ogni criterio quali evidenze servono in ciascun caso.
Quali categorie devo includere nel report?
La Sicurezza è sempre inclusa. Le altre (Disponibilità, Riservatezza, Integrità dell'elaborazione e Privacy) si aggiungono se hai impegni con i clienti in quegli ambiti. In Audexa le scegli prima del questionario e vedi solo i criteri applicabili.
Abbiamo già la ISO 27001. Ci serve per SOC 2?
È un buon punto di partenza. Audexa ha 135 corrispondenze tra SOC 2 e ISO 27001 e ti mostra quanto coprono prima di iniziare. Le risposte arrivano proposte perché una persona le riveda, e l'auditor CPA testerà comunque i controlli.
Cosa sono i CUEC e le organizzazioni subfornitrici?
I CUEC sono controlli che i tuoi clienti devono applicare dal loro lato, come gestire i propri utenti. Le organizzazioni subfornitrici sono i fornitori da cui dipendi, come il tuo cloud. Audexa ti guida a documentare entrambi e a scegliere tra carve-out e inclusive.
Quale piano serve per SOC 2?
SOC 2 è disponibile nei piani Premium e Diamond. Free e Core non lo includono. Nella demo vediamo quale piano si adatta al tuo team.
Richiedi una demo
Ti mostriamo come prepareresti il SOC 2 in Audexa.
In una demo di 30 minuti vediamo la scelta delle categorie, la guida dell'auditor per criterio e il piano d'azione.
- Valutiamo quali categorie ha senso includere nel tuo report.
- Ti mostriamo quanto copre già il tuo lavoro ISO 27001.
- Ti spieghiamo quale piano si adatta al tuo team.