Servizi di Preparazione SOC 2 per Aziende SaaS — Type I e Type II

SOC 2 Type I attesta che i controlli sono adeguatamente progettati a un determinato momento. SOC 2 Type II attesta che i controlli hanno operato efficacemente nel corso di un periodo di osservazione, tipicamente da 6 a 12 mesi (3 mesi sono possibili per i report del primo anno, ma i procurement enterprise insistono sempre più spesso sui 12). La maggior parte degli acquirenti enterprise statunitensi richiede un Type II corrente che copra almeno la categoria Security (Common Criteria CC1.0–CC9.0). Il percorso pragmatico: Type I al mese 4 per sbloccare la pipeline, poi avvio immediato di una finestra Type II di 6 mesi, con il report che arriva circa 10 mesi dopo il kickoff.

Security (Common Criteria CC1.0–CC9.0) è obbligatorio in ogni SOC 2: copre l'ambiente di controllo allineato a COSO 2013, comunicazione, valutazione del rischio, monitoraggio, accesso logico/fisico, operazioni di sistema, change management e mitigazione del rischio. Le categorie opzionali: A1.0 Availability (uptime e capacità — da includere se si vendono SLA), C1.0 Confidentiality (protezione dei dati non pubblici — comune per B2B SaaS), PI1.0 Processing Integrity (completezza/accuratezza delle transazioni — comune per fintech e pagamenti), P1.0–P8.0 Privacy (avviso, scelta, raccolta, uso, conservazione, divulgazione, qualità, monitoraggio — da includere se si trattano PII consumer su larga scala). La maggior parte dei B2B SaaS inizia con Security+Availability+Confidentiality.

Più di quanto suggeriscano le piattaforme di automazione dei vendor, meno di quanto quotino i consulenti tradizionali. Il vero lavoro ingegneristico: il change management (CC8.1) richiede un workflow Git di branching/PR/approvazione che gli auditor possano ripercorrere dalla cronologia dei commit; l'accesso logico (CC6.1–CC6.3) richiede SSO con MFA su ogni sistema PHI/customer-data più revisioni trimestrali degli accessi; il monitoraggio di sistema (CC7.1–CC7.5) richiede logging centralizzato, alerting, rotazione on-call, postmortem degli incidenti; la gestione dei vendor (CC9.2) richiede un inventario dei vendor tracciato con revisioni di sicurezza. Implementiamo i controlli effettivi nel vostro IaC, IdP, ticketing e stack di monitoraggio: gli strumenti di automazione osservano ciò che già esiste, non lo costruiscono.

Sono raccoglitori di prove e generatori di template di policy, non implementatori di controlli. Si integrano con AWS/GCP/Okta/GitHub ecc. e raccolgono prove continue (MFA attivo, cifratura attiva, backup in esecuzione, vulnerability scan puliti), il che riduce drasticamente i costi di osservazione Type II. Lavoriamo con qualsiasi piattaforma già in uso o ne raccomandiamo una in base al vostro stack; poi costruiamo i controlli che la piattaforma monitora. L'errore è acquistare prima la piattaforma e presumere che il dashboard che diventa verde equivalga a un assetto pronto per l'audit: non è così, perché i controlli evidenziati culturalmente (revisioni degli accessi, revisioni dei vendor, approvazioni delle modifiche, postmortem degli incidenti) vivono al di fuori della piattaforma e richiedono ancora una cadenza umana.

Timeline realistica: 12–18 settimane di lavoro di preparazione (analisi dei gap, implementazione dei controlli, adozione delle policy, integrazione dell'automazione), poi un audit Type I (circa 4 settimane di field work dell'auditor, report 2–4 settimane dopo) oppure direttamente una finestra di osservazione Type II di 6 mesi. Le tariffe di audit della CPA firm sono separate dal nostro lavoro e ammontano tipicamente a 20k–60k USD per il Type II a seconda dello scope e del livello della firma. Combinando la nostra preparazione (12.000 EUR), il Type I prep (28.000 EUR), il Type II continuativo (5.000 EUR/mese) e l'audit CPA, la maggior parte delle aziende SaaS arriva a un Type II pulito in 9–12 mesi dal kickoff.

Tre pacchetti. Readiness è 12.000 EUR fissi (4–6 settimane): scoping TSC, analisi dei gap dei controlli, configurazione della piattaforma di automazione e ottimizzazione dell'integrazione, policy pack (15+ policy mappate a CC e alle categorie scelte), assegnazione dei control owner e briefing esecutivo. Type I Prep è 28.000 EUR fissi (8–12 settimane): implementazione dei controlli in codice/IaC/IdP, raccolta delle prove, supporto all'auditor durante il field work e remediation dei gap di progettazione sollevati dall'auditor. Type II Ongoing è 5.000 EUR/mese: sync mensile con i control owner, revisioni trimestrali degli accessi/vendor, monitoraggio della qualità delle prove, incident response in retainer e supporto all'auditor durante la finestra Type II. Tariffe della CPA firm fatturate separatamente dalla firma.