Prompt per la progettazione e implementazione dei controlli SOC 2

Crea una matrice completa dei controlli SOC 2 per [organization name] che copra [elenco dei criteri applicabili: Security, Availability, ecc.]. Per ogni Trust Services Criterion in ambito, fornisci:
- Riferimento al criterio (es. CC6.1)
- Obiettivo del controllo
- Descrizione della nostra attività di controllo
- Tipo di controllo (preventivo/detettivo/correttivo)
- Frequenza del controllo (continuo/giornaliero/mensile/trimestrale/annuale)
- Responsabile del controllo (ruolo)
- Evidenza dell'operatività

Il nostro ambiente: [descrivi sistemi, dimensione dell'organizzazione, tech stack]
Tipo di audit: [Type I o Type II]

Aiutami a prioritizzare l'implementazione dei controlli SOC 2 in base al rischio. Analizza:
- I risultati della nostra valutazione dei rischi: [riassumi i rischi principali]
- Criteri in ambito: [Security, Availability, ecc.]
- Maturità attuale dei controlli: [descrivi lo stato attuale]
- Tempo fino all'audit: [mesi fino alla valutazione di readiness]
- Vincoli di risorse: [dimensione del team, budget]

Fornisci una roadmap prioritaria per l'implementazione dei controlli con quick win e controlli critici.

Progetta controlli per CC1 (Ambiente di Controllo) che affrontino:
- CC1.1 (integrità e valori etici): Codice di condotta, formazione etica
- CC1.2 (supervisione del consiglio): [descrivi la tua struttura di governance]
- CC1.3 (struttura organizzativa): Ruoli e responsabilità per la sicurezza
- CC1.4 (competenza): Requisiti di formazione e qualificazione
- CC1.5 (responsabilità): Gestione delle prestazioni e applicazione

La nostra organizzazione:
- Dimensione: [numero di dipendenti]
- Governance: [struttura del consiglio, comitati]
- Leadership: [chi possiede sicurezza/conformità]

Crea controlli per CC2 (Comunicazione e Informazione) che coprano:
- CC2.1 (obiettivi di sicurezza): Come comunichiamo gli obiettivi di sicurezza
- CC2.2 (comunicazione interna): [strumenti e canali per le comunicazioni sulla sicurezza]
- CC2.3 (comunicazione esterna): Comunicazioni sulla sicurezza con clienti/fornitori

Includi attività di controllo specifiche, frequenza e parti responsabili per il nostro ambiente: [descrivi i canali di comunicazione e gli stakeholder]

Progetta un framework di controllo per la valutazione dei rischi per CC3.1 fino a CC3.4:
- CC3.1 (obiettivi): Impegno di servizio e requisiti di sistema
- CC3.2 (identificazione dei rischi): Metodologia per l'identificazione delle minacce
- CC3.3 (analisi dei rischi): Valutazione della probabilità e dell'impatto
- CC3.4 (rischio di frode): Scenari di rischio di frode specifici per [il tuo tipo di servizio]

Il nostro profilo di rischio:
- Tipo di servizio: [SaaS/PaaS/altro]
- Panorama delle minacce: [minacce specifiche del settore]
- Incidenti precedenti: [se presenti]

Fornisci descrizioni dei controlli, frequenza (con quale frequenza avvengono le valutazioni dei rischi) e deliverable.

Genera controlli di monitoraggio per CC4.1 e CC4.2:
- CC4.1 (monitoraggio continuo): Monitoraggio continuo di [elenco dei sistemi/controlli chiave]
- CC4.2 (rimedio): Processo per affrontare le carenze

Includi:
- Strumenti di monitoraggio: [SIEM, gestione dei log, scanner di vulnerabilità]
- Metriche e dashboard
- Frequenza di revisione e responsabilità
- Flussi di lavoro per l'escalation e il rimedio

Capacità di monitoraggio attuali: [descrivi strumenti e pratiche esistenti]

Progetta attività di controllo per CC5.1 fino a CC5.3:
- CC5.1 (selezione e sviluppo): Selezione dei controlli tecnologici
- CC5.2 (controlli generali): Controlli generali IT (accesso, cambiamenti, backup)
- CC5.3 (distribuzione): Distribuzione e configurazione dei controlli

Ambiente tecnologico:
- Infrastruttura: [cloud/on-prem/ibrido]
- Tecnologie chiave: [AWS/Azure/GCP, database, applicazioni]
- Livello di automazione: [manuale/semi-automatizzato/completamente automatizzato]

Per ogni controllo, specifica la tecnologia coinvolta, come opera e chi lo mantiene.

Crea controlli dettagliati per l'accesso per CC6.1 fino a CC6.8:
- CC6.1 (gestione degli accessi): Processo di provisioning/deprovisioning
- CC6.2 (autenticazione): [requisiti MFA, standard delle password]
- CC6.3 (provisioning/deprovisioning): Flusso di lavoro per nuovi arrivi, trasferimenti, uscite
- CC6.6 (accesso fisico): [sicurezza dei data center/ufficio se applicabile]
- CC6.7 (revisioni degli accessi): Revisioni trimestrali degli accessi
- CC6.8 (credenziali): Gestione degli accessi privilegiati

Il nostro panorama degli accessi:
- Numero di utenti: [utenti totali, utenti amministratori]
- Sistemi: [SSO, servizi di directory, strumenti di accesso privilegiato]
- Sedi fisiche: [sedi degli uffici, data center]

Includi chi esegue le revisioni degli accessi, quali evidenze vengono conservate e come vengono gestite le eccezioni.

Progetta controlli per le operazioni di sistema per CC7.1 fino a CC7.5:
- CC7.1 (rilevamento dei cambiamenti): Monitoraggio dell'integrità dei file, rilevamento della deriva di configurazione
- CC7.2 (incidenti di sicurezza): Rilevamento e allerta degli incidenti
- CC7.3 (risposta agli incidenti): Playbook e procedure di risposta
- CC7.4 (mitigazione degli incidenti): Contenimento e rimedio
- CC7.5 (logging): [fonti dei log, conservazione: X mesi/anni]

Le nostre operazioni:
- Strumenti di monitoraggio: [SIEM, IDS/IPS, EDR]
- Storia degli incidenti: [tipi di incidenti subiti]
- Infrastruttura di logging: [logging centralizzato, SIEM]

Specifica come opera ogni controllo, le evidenze generate e i team responsabili.

Crea controlli per la gestione dei cambiamenti per CC8.1:
- Flusso di lavoro per la richiesta e l'approvazione dei cambiamenti
- Categorie di cambiamento: [standard/normale/emergenza]
- Requisiti di test: [pipeline dev/staging/production]
- Controlli di distribuzione: [gate CI/CD, approvazioni]
- Procedure di rollback
- Validazione post-implementazione

Il nostro ambiente di sviluppo:
- Metodologia: [Agile/Waterfall/DevOps]
- Frequenza di rilascio: [continuo/settimanale/mensile]
- Strumenti: [Jira, ServiceNow, GitHub, Jenkins, ecc.]

Dettaglia il controllo in ogni fase (richiesta → approvazione → test → distribuzione → validazione) e chi è responsabile.

Progetta controlli per la mitigazione dei rischi per CC9.1 e CC9.2:
- CC9.1 (backup, disaster recovery): Procedure di backup e DR
- CC9.2 (gestione dei fornitori): Gestione del rischio di terze parti

Backup e DR:
- Frequenza dei backup: [incrementale giornaliero, completo settimanale]
- Conservazione: [30 giorni online, 1 anno in archivio]
- Test DR: [annuale/semestrale]
- RTO/RPO: [obiettivi]

Gestione dei fornitori:
- Fornitori critici: [elenco delle principali organizzazioni di subservice]
- Due diligence: [revisione dei report SOC 2, valutazioni di sicurezza]
- Requisiti contrattuali: [diritti di audit, SLA]
- Monitoraggio: [revisioni annuali]

Fornisci descrizioni dettagliate dei controlli con attività specifiche, frequenza ed evidenze.

Genera controlli specifici per i criteri di Availability SOC 2 (A1.1, A1.2, A1.3):
- A1.1 (obiettivi di availability): Obiettivi di uptime e misurazione
- A1.2 (capacità): Monitoraggio, pianificazione e scalabilità della capacità
- A1.3 (monitoraggio e risposta agli incidenti): Gestione degli incidenti di availability

I nostri impegni di availability:
- SLA: [99.9% di uptime o impegno specifico]
- Sistemi: [servizi di produzione in ambito]
- Infrastruttura: [fornitore cloud, approccio alla ridondanza]
- Prestazioni storiche: [metriche di availability passate]

Per ogni controllo, specifica gli strumenti di monitoraggio, le soglie, l'escalation e come dimostriamo la conformità.

Crea controlli per i criteri di Processing Integrity SOC 2 (PI1.1 fino a PI1.5):
- PI1.1 (obiettivi di processing): Obiettivi di accuratezza e completezza
- PI1.2 (input): Validazione e autorizzazione degli input
- PI1.3 (processing): Controlli della logica di processing e gestione degli errori
- PI1.4 (output): Validazione e riconciliazione degli output
- PI1.5 (data store): Controlli di integrità dei dati

Il nostro ambiente di processing:
- Attività di processing: [elaborazione dei pagamenti, trasformazione dei dati, calcoli]
- Fonti di input: [API, caricamenti di file, inserimento manuale]
- Requisiti di validazione: [regole aziendali o normative]
- Frequenza di riconciliazione: [in tempo reale/giornaliera/mensile]

Descrivi controlli automatizzati e manuali, regole di validazione e gestione delle eccezioni.

Progetta controlli per i criteri di Confidentiality SOC 2 (C1.1, C1.2):
- C1.1 (informazioni confidenziali): Identificazione e classificazione
- C1.2 (smaltimento): Cancellazione e distruzione sicura

Dati confidenziali che gestiamo:
- Tipi di dati: [dati proprietari dei clienti, segreti commerciali, dati finanziari]
- Posizioni di archiviazione: [database, file system, backup]
- Crittografia: [standard a riposo, in transito]
- Periodi di conservazione: [per tipo di dato]

Includi lo schema di classificazione dei dati, i controlli di crittografia, le restrizioni di accesso e le procedure di smaltimento sicuro con evidenza di esecuzione.

Genera controlli per i criteri di Privacy SOC 2 (P1.0 fino a P8.0):
- P1.0 (informativa): Fornitura e aggiornamento dell'informativa sulla privacy
- P2.0 (scelta e consenso): Raccolta e gestione del consenso
- P3.0 (raccolta): Minimizzazione dei dati e limitazione delle finalità
- P4.0 (uso, conservazione, smaltimento): Applicazione del programma di conservazione
- P5.0 (accesso): Gestione delle richieste di accesso degli interessati
- P6.0 (comunicazione a terzi): Controlli sulla condivisione dei dati con terze parti
- P7.0 (sicurezza): Controlli di sicurezza specifici per la privacy
- P8.0 (qualità): Accuratezza e correzione dei dati

Il nostro panorama della privacy:
- Dati personali: [categorie raccolte]
- Interessati: [clienti, dipendenti, utenti finali]
- Regolamenti: [GDPR, CCPA, altri]
- Strumenti per la privacy: [gestione del consenso, piattaforme DSR]

Per ogni principio, fornisci controlli specifici, automazione dove possibile ed evidenza di operatività.

Valuta la progettazione del mio controllo per [riferimento al Trust Services Criterion]:

Descrizione del controllo:
[Incolla la descrizione del tuo controllo]

Valuta:
- Questo controllo affronta adeguatamente i requisiti del criterio e i punti di attenzione?
- Ci sono lacune o debolezze nella progettazione?
- La frequenza del controllo è appropriata?
- Il ruolo del responsabile del controllo è adatto?
- Quali evidenze dovrebbe generare questo controllo?

Fornisci raccomandazioni per rafforzare la progettazione del controllo.

Devo dimostrare l'efficacia operativa per il mio audit SOC 2 Type II che copre [intervallo di date]. Per il controllo [ID/descrizione del controllo]:
- Frequenza del controllo: [giornaliera/mensile/trimestrale]
- Tipo di controllo: [automatizzato/manuale/ibrido]
- Evidenze generate: [log, ticket, approvazioni, report]

Aiutami a pianificare:
- Dimensione del campione che gli auditor si aspetteranno (per i controlli manuali)
- Conservazione e organizzazione delle evidenze
- Documentazione delle eccezioni e come sono state risolte
- Approccio di test per validare l'efficacia prima dell'audit

Fornisci un piano di test e una checklist delle evidenze.

Esamina il mio set di controlli per [criteri in ambito] e identifica opportunità di automazione:

Controlli attuali:
[Elenca i tuoi controlli e se sono manuali/automatizzati]

Tecnologie disponibili:
[Elenca gli strumenti e le piattaforme che hai: SIEM, IaC, policy-as-code, ecc.]

Raccomanda:
- Quali controlli possono essere completamente automatizzati
- Strumenti o script per implementare l'automazione
- Approcci per la conformità continua
- Come l'automazione migliora la qualità delle evidenze di audit

Prioritizza in base all'impatto e allo sforzo di implementazione.