Seguridad de la información
SOC 2
SOC 2 (System and Organization Controls 2)
SOC 2 es una auditoría independiente de cómo protege los datos de los clientes frente a los Trust Services Criteria. Lo llevamos desde la primera brecha hasta un informe Type I o Type II sin salvedades.
Qué es SOC 2
SOC 2 es un informe de atestiguamiento elaborado por una firma independiente de CPA (contadores públicos certificados) que describe cómo su organización gestiona los datos de los clientes frente a cinco Trust Services Criteria: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. La seguridad siempre está dentro del alcance; los demás se incluyen cuando son relevantes para su servicio.
Un informe Type I evalúa si sus controles están diseñados adecuadamente en un momento determinado. Un informe Type II comprueba si realmente operaron de forma eficaz durante un período, normalmente de tres a doce meses, y es el que esperan la mayoría de los compradores corporativos.
La estructura de la norma
Criterio · Seguridad
Los criterios comunes que incluye todo encargo SOC 2, que cubren cómo se protegen los sistemas y los datos frente al acceso no autorizado.
Criterio · Disponibilidad
Criterios opcionales que abordan si el sistema está disponible para su operación y uso según lo comprometido o acordado.
Criterio · Integridad del procesamiento
Criterios opcionales que abordan si el procesamiento del sistema es completo, válido, exacto, oportuno y autorizado.
Criterio · Confidencialidad
Criterios opcionales que abordan cómo se protege la información designada como confidencial a lo largo de su ciclo de vida.
Criterio · Privacidad
Criterios opcionales que abordan cómo se recopila, usa, conserva, divulga y elimina la información personal.
Informe · Type I
Una evaluación de si los controles están diseñados adecuadamente en una única fecha especificada.
Informe · Type II
Una evaluación de si esos controles también operaron de forma eficaz a lo largo de un período de revisión definido.
Quién lo necesita
- Empresas de SaaS y de software B2B cuyos clientes almacenan datos con ellas
- Cualquiera a quien se le pida un informe SOC 2 en un cuestionario de seguridad o en una negociación
- Equipos que venden a grandes empresas de EE. UU., donde SOC 2 es la expectativa por defecto
Qué obtiene
- Una evaluación de brechas y una hoja de ruta priorizada
- Políticas, controles y un conjunto de evidencias asociados a los criterios
- Evidencia de la prueba de penetración y de la revisión de seguridad
- Preparación y apoyo para la auditoría hasta un informe Type I o Type II sin salvedades
Los plazos dependen de su punto de partida y de si se trata de Type I o Type II. Definimos el alcance con honestidad desde el principio en lugar de prometer un número fijo de semanas.
Versión actual
Los informes SOC 2 se preparan frente a los AICPA Trust Services Criteria, la edición de 2017 con sus points of focus revisados en 2022, leídos junto con las normas de atestiguamiento de la SSAE 18. Los criterios en sí son estables, por lo que el marco actual es con el que trabaja hoy cualquier nuevo encargo. El cambio práctico a lo largo del tiempo está en las expectativas de los auditores y en la evidencia, así que el enfoque sensato es confirmar los criterios actuales y el alcance de su auditor antes del trabajo de campo, en lugar de suponer que el conjunto del año pasado sigue vigente sin cambios.
Qué cuesta
Aquí conviven dos costes. tr3labs cobra unos honorarios de asesoría e implementación acotados, presupuestados por adelantado una vez que entendemos su tamaño, sus sistemas y lo avanzados que ya están sus controles. Por separado, la firma independiente de CPA con licencia que realiza el examen y emite el informe cobra según su propia tarifa, porque tr3labs nunca es el auditor y nunca emite el atestiguamiento. Preferimos acotar el trabajo con usted antes que presupuestar a ciegas.
Cómo tr3labs le lleva hasta allí
Alcance y evaluación de brechas
Acordamos qué Trust Services Criteria aplican, confrontamos sus controles actuales con ellos y le entregamos una hoja de ruta priorizada para cerrar las brechas.
Construir los controles
Le ayudamos a implementar las políticas, los procesos y los controles técnicos que exigen los criterios, y reunimos las evidencias que su auditor querrá ver.
Probar y demostrar
Nuestras pruebas de penetración y revisiones aportan la evidencia de seguridad que respalda los controles, y ensayamos la auditoría para que no haya sorpresas.
Apoyo en la auditoría
Trabajamos junto a su auditor CPA durante el trabajo de campo hasta lograr un informe sin salvedades, y lo mantenemos preparado para el período siguiente.
SOC 2 comparado con ISO 27001
Ambos demuestran ante una parte externa que gestiona la seguridad de la información, razón por la cual los compradores a menudo los tratan como intercambiables.
| SOC 2 | ISO 27001 | |
|---|---|---|
| Cubre | Controles frente a los Trust Services Criteria | Un sistema de gestión de la seguridad de la información dirigido |
| Quién lo pide | Sobre todo compradores corporativos y de compras de EE. UU. | Clientes y reguladores internacionales |
| Idea central | Informe de atestiguamiento sobre sus controles | Sistema de gestión certificable que usted opera y mejora |
| Modelo de auditoría | Examen por una firma independiente de CPA | Auditoría en dos etapas por un organismo de certificación acreditado |
| Resultado | Un informe Type I o Type II, no un certificado | Un certificado con auditorías de seguimiento |
| A menudo se tiene junto con | ISO 27001, cuando los compradores abarcan ambas regiones | SOC 2, para satisfacer tanto a compradores de EE. UU. como globales |
Preguntas frecuentes sobre SOC 2
- ¿Cuál es la diferencia entre SOC 2 Type I y Type II?
- El Type I evalúa si sus controles están diseñados correctamente en un único momento. El Type II comprueba si operaron de forma eficaz durante un período de revisión, normalmente de tres a doce meses, y es lo que piden la mayoría de los compradores corporativos.
- ¿Necesitamos una prueba de penetración para SOC 2?
- SOC 2 no exige una prueba concreta, pero los auditores y los clientes esperan evidencia real de que sus controles de seguridad funcionan. Nuestras pruebas de penetración manuales proporcionan exactamente eso y alimentan directamente el informe.
- ¿Quién emite el informe SOC 2?
- Una firma independiente de CPA con licencia emite el informe. tr3labs lo prepara para la auditoría, construye los controles y las evidencias y lo acompaña durante el proceso; no emitimos el atestiguamiento nosotros mismos.
Los servicios que te llevan hasta allí
Normas relacionadas
Lectura relacionada
SOC 2 frente a ISO 27001: una comparación honesta para ayudarte a elegir
Una guía en lenguaje sencillo sobre las diferencias reales entre SOC 2 e ISO 27001: qué es cada uno, quién pide cuál, cómo funcionan las auditorías, qué acabas teniendo en la mano y si deberías hacer ambos.
8 min de lectura
¿Qué es el cumplimiento de SOC 2? Una guía en lenguaje sencillo
SOC 2 explicado sin jerga: qué es, los cinco Trust Services Criteria, Type I frente a Type II, quién lo necesita, cómo es el proceso y cómo prepararse.
7 min de lectura
El OWASP LLM Top 10, explicado: una guía en lenguaje sencillo para equipos que lanzan funcionalidades de IA
A clear, practical walkthrough of the OWASP Top 10 risks for LLM applications, in Spanish.
9 min de lectura