Fluid Attacks SOC 2 Type II: três relatórios anuais consecutivos, com ISO 27001, PCI DSS e GDPR

Mais do que um marco

Esta conquista é motivo de orgulho por vários motivos: o momento, a tecnologia de apoio, as melhorias internas que exigiu e o padrão que estabelece para o futuro. Igualmente importante, a Fluid Attacks vê este resultado como o início de uma nova etapa, e não como o fim de um projeto. O verdadeiro desafio agora é sustentar o sistema de gestão, ajudá-lo a evoluir e continuar elevando o rigor das operações da empresa.

Esse é o verdadeiro significado do trabalho de asseguração quando bem feito. Os frameworks de confiança não devem funcionar como rótulos decorativos. Devem forçar decisões melhores: definição de escopo mais precisa, responsabilidade mais clara sobre os controles, práticas de evidência mais sólidas, melhor documentação e hábitos operacionais mais resilientes, que reflitam autorregulação, maturidade e disciplina institucional. Neste ciclo, foi exatamente isso que aconteceu.

A conformidade da Fluid Attacks em resumo

Três anos consecutivos de SOC 2 Type II

A Fluid Attacks obteve um relatório SOC 2 Type II a cada ano desde 2024.

O que a Fluid Attacks conquistou, com precisão

Ao comunicar sobre conformidade e asseguração, a precisão importa: ISO 27001 e 27701 são certificações; ISO 27017 e 27018 são normas complementares à ISO 27001 e são descritas publicamente, com mais exatidão, como controles alinhados à ISO 27001 e 27701; SOC 2 é uma atestação; o GDPR é uma questão de conformidade com requisitos legais; e PCI DSS é uma validação.

ISO 27001, ISO 27701, ISO 27017 e ISO 27018

Dentro desse quadro, a Fluid Attacks obteve a certificação ISO/IEC 27001:2022 e ISO/IEC 27701:2019 para seu sistema de gestão de segurança da informação e privacidade. O certificado foi emitido pela Kompleye Attestation LLC, que auditou o sistema e confirmou que ele atendia aos requisitos das normas pertinentes. Esse certificado registra uma data de registro original de 25 de fevereiro de 2026, com data de vencimento em 24 de fevereiro de 2029.

O registro da ISO/IEC 27017:2015 e da ISO/IEC 27018:2019 mostra as mesmas datas. A conformidade com essas normas ISO mais recentes demonstra o alinhamento da Fluid Attacks com as configurações padrão de segurança em nuvem e com a proteção de informações de identificação pessoal (PII) em serviços em nuvem.

SOC 2 Type II e SOC 3

A Fluid Attacks também obteve uma atestação SOC 2 Type II e um relatório SOC 3, ambos para o período de 1º de julho de 2024 a 30 de junho de 2025, com a Kompleye como auditora de serviços independente. O relatório SOC 2 avalia a adequação do desenho e a eficácia operacional dos controles de segurança das soluções de segurança de aplicações (AppSec) da Fluid Attacks.

O relatório SOC 3 abrange o mesmo período e oferece uma declaração de asseguração voltada ao público sobre a eficácia desses controles, sem divulgar os detalhes sensíveis contidos no relatório SOC 2. Em 2026, a A-LIGN emitiu o terceiro relatório SOC 2 Type II (de 1º de julho de 2025 a 30 de junho de 2026).

PCI DSS v4.0.1

Em relação a pagamentos, a Fluid Attacks obteve a validação PCI DSS v4.0.1 por meio de um Atestado de Conformidade (Attestation of Compliance, AOC) vinculado ao Questionário de Autoavaliação (SAQ) A-EP, com a Internet Security Auditors (IsecAuditors) atuando como avaliador de segurança qualificado.

O resultado registrou uma classificação geral COMPLIANT. O modelo de pagamentos descrito na documentação é intencionalmente restrito: os dados do titular do cartão são capturados por provedores de pagamento terceirizados em conformidade com o PCI, e os sistemas da Fluid Attacks não armazenam, processam nem transmitem, por conta própria, dados brutos de conta.

GDPR

Em paralelo, a empresa documentou e fortaleceu controles de privacidade e estruturas de governança que apoiam a conformidade com o GDPR, incluindo um Sistema de Gestão de Informações de Privacidade, um Registro de Atividades de Tratamento, procedimentos para os direitos dos titulares de dados, um Encarregado de Proteção de Dados designado, compromissos de notificação de violações de dados, governança de suboperadores e práticas de privacidade desde a concepção.

Por que essa combinação de frameworks importa

Cada um desses frameworks aborda uma dimensão diferente da confiança, mas, na prática, eles se reforçam mutuamente e formam um modelo de asseguração mais coerente:

• A ISO/IEC 27001 estabelece o sistema de gestão de segurança da informação. Exige que a organização identifique riscos, defina controles, atribua responsabilidades e opere um programa estruturado de melhoria contínua. A ISO/IEC 27701 estende essa lógica à privacidade, com requisitos relevantes sobre como as organizações tratam dados pessoais como controladoras e operadoras. A ISO/IEC 27017 e a 27018 acrescentam orientações de controles específicas para a nuvem e a privacidade.
  
  

• O SOC 2 Type II oferece asseguração de terceiros de que os controles não apenas são bem desenhados, mas também operam de forma eficaz ao longo do tempo — uma validação operacional limitada no tempo, especialmente valiosa para clientes que querem evidências de que os compromissos de segurança se refletem na prática diária. O SOC 3 o complementa ao oferecer uma declaração de asseguração de alto nível para públicos mais amplos.
  
  

• O PCI DSS foca especificamente na proteção dos dados de cartões de pagamento e dos sistemas e processos que dão suporte às transações de pagamento. O GDPR, por sua vez, não é de forma alguma um framework de certificação, mas uma regulamentação legal que rege como as organizações tratam dados pessoais e protegem os direitos das pessoas.

Juntos, esses frameworks formam um modelo de confiança em camadas: governança, asseguração operacional, responsabilização em privacidade, segurança de pagamentos e conformidade legal atuando em conjunto, e não de forma isolada.

Essa complementaridade também foi um fator-chave para a própria auditoria integrada. Como Diego observa, os auditores usaram uma abordagem estratégica para mapear e reutilizar evidências entre requisitos sobrepostos na ISO 27001, no SOC 2, no GDPR e em frameworks relacionados, reduzindo testes redundantes, diminuindo a carga administrativa e economizando tempo sem enfraquecer o rigor.

Os provedores por trás da conquista

A confiança em asseguração depende não apenas do que uma empresa diz ter conquistado, mas também de quem a avaliou e sob qual modelo de acreditação. A Fluid Attacks concluiu este trabalho com o apoio de três provedores-chave: Vanta, Kompleye e IsecAuditors. Cada um desempenhou um papel diferente na cadeia de asseguração.

A Vanta foi a plataforma de automação de conformidade por trás do esforço. Não era a auditora, mas foi essencial para tornar o projeto gerenciável. Notavelmente, a Vanta adotou uma das recomendações da Fluid Attacks para lidar com auditorias que abrangem vários frameworks — um detalhe que ressalta o quanto este projeto foi incomum. Como Diego destaca, a Vanta agilizou o trabalho ao se integrar com ferramentas que monitoram controles de segurança, mantêm os documentos atualizados e dão aos auditores acesso às evidências. Na prática, isso significou centralizar a coleta de evidências, reduzir o trabalho manual e ajudar a equipe a reutilizar informações de controles em vários frameworks.

A Kompleye desempenhou dois papéis distintos. Para o SOC, atuou como auditora de serviços independente, avaliando os controles com base nos Trust Services Criteria do AICPA e emitindo os relatórios formais de atestação. Para o relatório SOC 2 Type II de 2026, a A-LIGN atuou como auditora de serviços independente. Para a ISO, a Kompleye Attestation LLC atuou como organismo de certificação, auditando o sistema de gestão e emitindo os certificados. Essa distinção importa porque “atestação” e “certificação” não são termos intercambiáveis. A atividade ISO da Kompleye é respaldada pela acreditação da ANAB, o que significa que o próprio organismo de certificação está sujeito a supervisão externa. Essa camada adicional de verificação fortalece a credibilidade dos certificados emitidos sob sua autoridade.

A IsecAuditors liderou a parte de PCI DSS do projeto como avaliador de segurança qualificado. Esse papel existe dentro do ecossistema do PCI Security Standards Council justamente para garantir que as validações PCI sejam realizadas por empresas independentes, com a competência e a autorização para avaliar se o ambiente de pagamentos e os controles atendem aos requisitos do SAQ aplicável e para emitir uma validação formal de conformidade. Neste projeto, a Isec cuidou da parte de PCI, enquanto a Kompleye cuidou de SOC e ISO, permitindo que a Fluid Attacks buscasse uma estrutura de asseguração integrada em vez de fragmentada.

Como o projeto se desenrolou

O esforço foi ambicioso desde o início. Segundo Diego, a fase de seleção envolveu avaliar as capacidades e a experiência dos provedores. A diretriz era clara: encontrar um arranjo de provedores capaz de sustentar um ciclo de auditoria integrado, e não apenas uma série de avaliações desconectadas. Essa estrutura surgiu por meio da Isec e de sua parceira Kompleye, com a Vanta apoiando as operações diárias de conformidade.

Outro desafio inicial foi definir o escopo da certificação, que precisou ser restringido a algo rigoroso e gerenciável. O escopo final concentrou-se na prestação segura dos planos Essential e Advanced, incluindo o tratamento de dados pessoais relacionado — uma escolha que melhorou o foco e a viabilidade sem diluir o valor da certificação.

Em relação ao PCI, determinar se o caminho de autoavaliação adequado era o SAQ A ou o SAQ A-EP exigiu análise técnica e contratual e causou atrasos. Não era uma distinção trivial. O questionário precisava refletir a arquitetura real, o fluxo das informações de pagamento e a distribuição de responsabilidades entre a Fluid Attacks e os provedores de pagamento terceirizados.

Quando a execução começou, a colaboração interna tornou-se um dos maiores fatores de sucesso. Os colaboradores envolvidos nas entrevistas de auditoria ajudaram a manter o processo fluindo. Ao mesmo tempo, a fase de auditoria interna expôs uma fraqueza comum em programas de certificação, frequentemente subestimada: lacunas de documentação. Por fim, nem todos os frameworks exigiram o mesmo tipo de esforço. Esse contraste ilustrou como um único projeto integrado pode abordar, ao mesmo tempo, a recertificação de sistemas consolidados e o desenvolvimento de sistemas de primeiro ciclo.

O que melhorou dentro da Fluid Attacks

Um dos resultados mais fortes deste projeto é que ele mudou as práticas internas, e não apenas o status externo. A equipe tornou-se mais disciplinada na forma como coletava, preservava e mapeava evidências. A definição de escopo tornou-se mais estratégica. E a empresa melhorou sua capacidade de reutilizar evidências validadas em vários padrões, em vez de tratar cada framework isoladamente.

O ciclo de auditoria também reforçou uma realidade organizacional importante: a conformidade significativa não pode ser totalmente terceirizada. Ferramentas, auditores e acreditação importam, mas nenhum deles pode substituir a responsabilidade interna. Líderes e membros da equipe ainda precisam participar ativamente das entrevistas, fornecer evidências, responder a perguntas difíceis e assumir a responsabilidade pelos controles de suas áreas. Diego deixa isso especialmente claro: esforços de certificação integrada dessa magnitude exigem que a própria organização assuma um papel ativo de coordenação, em vez de deixar a estrutura do processo inteiramente a cargo dos fornecedores.

Essa responsabilidade interna é parte do que torna este marco significativo. Ela demonstra não apenas que a Fluid Attacks passou por avaliações externas, mas que fortaleceu os hábitos e sistemas necessários para sustentar a asseguração ao longo do tempo.

Lições aprendidas

Várias lições deste esforço se destacam e vale a pena mantê-las visíveis para os próximos ciclos:

• Definir o escopo de forma estratégica antes do início da auditoria. O escopo pode ser ampliado gradualmente, seguindo um conjunto de prioridades, sem tentar cobrir todos os aspectos desde o começo.

• Realizar auditorias internas com o mesmo rigor das externas. Um relatório interno fraco compromete tanto a preparação do programa quanto a credibilidade.

• Tratar a experiência com plataformas de automação de GRC (governança, gestão de riscos e conformidade) como um critério explícito na seleção de fornecedores. Em projetos com vários frameworks, a tecnologia de apoio determina a eficiência com que as evidências podem ser coletadas, mapeadas e revisadas.

• Identificar e corrigir lacunas de documentação desde cedo. Estão entre os riscos mais frequentes e mais controláveis nos esforços de certificação ISO.

• Garantir a participação ativa dos líderes e das pessoas responsáveis pelos processos no escopo, especialmente durante as entrevistas e a coleta de evidências.

• Manter a coleta de evidências em andamento entre as auditorias. O SOC 2 Type II é renovado todo ano, e a Fluid Attacks já concluiu três ciclos. Seus controles de segurança estão listados no Trust Center.

Como verificar nossas certificações e solicitar o relatório SOC 2

O Trust Center lista todos os relatórios e certificados. Os relatórios SOC 3 e o documento do GDPR são públicos. Os demais documentos exigem acesso, e cada um está identificado como tal. Solicite o relatório SOC 2 Type II pelo formulário Request access; ele é compartilhado sob NDA.

A parte mais difícil começa agora

Conquistar essas certificações, atestações, validações e alinhamentos é um marco significativo para a Fluid Attacks como empresa de AppSec. Mas o objetivo crucial daqui em diante é mantê-los: sustentar o sistema de gestão, preservar a qualidade das evidências, continuar refinando políticas e controles e honrar o compromisso com a segurança com o nível de rigor que tornou este marco possível.

A confiança não se constrói publicando uma lista de frameworks. Ela se constrói fazendo o trabalho necessário para conquistá-los, escolhendo avaliadores independentes e acreditados, melhorando a disciplina interna e mantendo esse padrão depois que o ciclo de auditoria termina. A Fluid Attacks elevou o patamar. O próximo desafio é mantê-lo e, potencialmente, adotar novos frameworks para fortalecer ainda mais a forma como a empresa opera.

Se você tem interesse em conferir nossos relatórios de certificação e acreditação, convidamos você a visitar nosso Trust Center. Veja também nossas certificações e soluções de conformidade.

Perguntas frequentes

A Fluid Attacks tem SOC 2 Type II?

Sim. O relatório mais recente abrange de 1º de julho de 2025 a 30 de junho de 2026 e foi emitido pela A-LIGN.

Por quantos anos consecutivos a Fluid Attacks tem o SOC 2 Type II?

Três: 2024, 2025 e 2026.

Quem auditou os relatórios SOC 2 Type II?

A-LIGN (2026), Kompleye (2025) e Insight Assurance (2024).

SOC 2 Type II ou SOC 3: qual é a diferença?

O SOC 2 detalha controles e testes, com uso restrito. O SOC 3 é um resumo público e curto.

Um único ciclo de auditoria pode cobrir SOC 2, ISO 27001 e PCI DSS?

Sim. Os auditores reutilizam evidências entre requisitos sobrepostos.

Como um cliente pode solicitar o relatório SOC 2?

Use Request access no Trust Center. Ele é compartilhado sob NDA.