Pronti prima che arrivi il revisore.
SOC 2 riguarda soprattutto le evidenze: fare cose sensate e poter dimostrare di averle fatte con costanza. Mettiamo in piedi entrambe le cose prima che il vostro audit inizi.
Prepariamo il vostro sistema all’audit SOC 2 che farà una società di revisione indipendente e accreditata, scelta da voi: implementiamo i controlli, impostiamo la raccolta delle evidenze e chiudiamo le lacune. Non siamo revisori e lo studio non ha alcuna certificazione, SOC 2 compresa. È proprio perché non vi verifichiamo che possiamo prepararvi.
Aggiornato novembre 2026
Gran parte di SOC 2 consiste nel dimostrare ciò che fate già.
Di solito le aziende hanno già pratiche ragionevoli. Quello che manca sono le evidenze: una traccia che gli accessi sono stati rivisti ogni trimestre, che le modifiche sono state approvate, che i backup sono stati provati. L’audit chiede prove, non intenzioni.
Quindi prepararsi significa soprattutto fare in modo che le evidenze si raccolgano da sole. Se dimostrare un controllo richiede che qualcuno metta insieme screenshot ogni trimestre, smetterà di farlo entro il terzo, e l’audit lo scoprirà.
Il Type I dice che i controlli esistono in una certa data. Il Type II dice che hanno funzionato per mesi. La maggior parte dei clienti che chiede SOC 2 vuole il Type II, il che significa che il periodo di osservazione inizia prima dell’audit: pianificare in anticipo fa risparmiare tempo vero.
Che cosa facciamo.
Prima l’analisi delle lacune
Che cosa c’è già, che cosa manca e quanto lavoro richiede ogni lacuna.
Evidenze che si raccolgono da sole
La cosa più importante. La raccolta manuale delle evidenze si ferma entro il terzo trimestre.
Procedure che le persone seguono
Scritte per la vostra azienda reale. I modelli generici vengono ignorati, e i revisori se ne accorgono.
Revisione degli accessi
Trimestrale, registrata e automatizzata quanto i vostri strumenti permettono.
Gestione delle modifiche
Di solito l’avete già nelle pull request. Va registrata, non ricostruita.
Piano di risposta agli incidenti
Scritto e provato almeno una volta: i revisori chiedono se è stato messo alla prova.
Registro dei fornitori
Chi tratta i vostri dati, che cosa è stato valutato e quando è stato rivisto l’ultima volta.
Supporto verso il revisore
Vi aiutiamo a scegliere una società di revisione e a prepararvi, anche con strumenti come Drata o Vanta. L’audit lo fa lei, non noi.
Dove sono di solito le lacune.
Grosso modo in ordine di quanto spesso le troviamo del tutto assenti.
| Area di controllo | Lacuna tipica | Impegno per chiuderla |
|---|---|---|
| Revisione degli accessi | Mai fatta, o fatta una volta | Basso: trimestrale, e automatizzabile |
| Gestione delle modifiche | Rilasci senza traccia di approvazione | Basso, se usate già le pull request |
| Ingressi e uscite del personale | Nessuna traccia degli accessi rimossi | Basso: una checklist e le evidenze |
| Valutazione dei fornitori | Nessuno valuta i fornitori | Medio: un registro e un processo |
| Risposta agli incidenti | Nessun piano scritto | Medio: scriverlo e provarlo una volta |
| Valutazione dei rischi | Mai fatta formalmente | Medio: annuale, documentata |
| Cifratura e registri | Di solito a posto | Basso: soprattutto dimostrarlo |
Come lo affrontiamo.
Noi vi prepariamo; una società indipendente e accreditata fa l’audit. Lo stesso soggetto non può fare entrambe le cose in modo credibile.
Lo studio non ha SOC 2, ISO 27001 né altre certificazioni. Il lavoro riguarda il vostro sistema e il vostro audit.
Il fattore che più di ogni altro decide se la preparazione regge fino all’audit.
Quando iniziare.
Un cliente grande ve l’ha chiesto
Il motivo abituale. Iniziare quando il contratto è già in attesa è stressante e costoso.
Vendete a clienti statunitensi
SOC 2 è uno standard americano: i clienti negli Stati Uniti lo chiedono spesso, e sopra una certa dimensione di contratto è una domanda standard.
Trattate dati per conto dei clienti
Se gestite qualcosa di sensibile per loro conto, prima o poi arriverà.
Non fa per voi se nessuno ve l’ha chiesto, o se vi chiedono ISO 27001
Con un team piccolo e nessuna richiesta, i soldi rendono di più altrove. E se i vostri clienti europei chiedono ISO 27001, è un percorso diverso con un ente di certificazione accreditato: molti controlli si sovrappongono, ma ve lo diciamo prima.
Come lavoriamo.
Analizziamo le lacune
Rispetto ai criteri che vi servono davvero, che di solito non sono tutti.
Diamo priorità per impegno
Prima i controlli rapidi e automatizzabili, così i progressi sono reali fin dall’inizio.
Automatizziamo le evidenze
Prima di tutto il resto. Evidenze che richiedono una persona ogni trimestre non sopravvivono.
Scriviamo le procedure
Per la vostra azienda così com’è, non un modello con il vostro nome sostituito.
Seguiamo il periodo di osservazione
Per il Type II i controlli devono funzionare per mesi. Verifichiamo che reggano.
Vi prepariamo al revisore
Una prova generale, evidenze ordinate e le domande che vi faranno.
Preparazione a SOC 2
6 domande con risposta. Ne avete un’altra? Scriveteci.
No, e nessuno credibile offrirebbe entrambe le cose. L’audit SOC 2 lo deve fare una società di revisione indipendente e abilitata, e preparare un’azienda per poi valutarla vanificherebbe lo scopo. Noi vi prepariamo e vi aiutiamo a scegliere il revisore; l’audit lo fa lui.
Sette categorie. Quarantacinque servizi.
Raccontateci il progetto, com’è davvero.
Scriveteci cosa vi serve e dove siete bloccati. Vi rispondiamo entro un giorno lavorativo con domande vere, e se il progetto dovrebbe essere più piccolo di come lo immaginate ve lo diremo.