SOC 2: qué es y por qué te lo piden los clientes de Estados Unidos

Qué es SOC 2 y quién lo emite

SOC 2 es un informe de aseguramiento sobre los controles de una organización de servicios, definido por el AICPA, el instituto estadounidense de contables públicos. A diferencia de ISO 27001, no hay un certificado: el resultado es un informe elaborado por una firma de auditoría habilitada como CPA, que incluye la opinión del auditor, la descripción del sistema preparada por la propia empresa, los controles y, en su caso, las pruebas realizadas y sus resultados.

El informe se basa en los Trust Services Criteria del AICPA. El criterio de seguridad, también llamado criterios comunes, es obligatorio en todo informe SOC 2. Los criterios de disponibilidad, integridad del procesamiento, confidencialidad y privacidad son opcionales y se incluyen según lo que tus clientes necesitan y lo que prometes en tus contratos.

Por qué lo piden los clientes estadounidenses

En el mercado estadounidense, SOC 2 se ha convertido en el lenguaje habitual para evaluar proveedores de servicios tecnológicos. Los equipos de seguridad y de compras de los clientes suelen tener procesos internos que esperan recibir un informe SOC 2 y revisarlo con criterios ya establecidos.

Un informe SOC 2 también puede reducir la carga de cuestionarios de seguridad: en lugar de responder cientos de preguntas para cada cliente, entregas el informe bajo acuerdo de confidencialidad y respondes solo a lo que no cubre. Además, los auditores de tus clientes pueden apoyarse en tu informe para sus propias auditorías, algo que con un certificado ISO resulta más difícil porque el certificado no describe los controles ni los resultados de las pruebas.

• Clientes corporativos que lo exigen en el proceso de homologación de proveedores.
• Clientes sujetos a auditorías propias que necesitan evidencia detallada de los controles de sus proveedores.
• Inversores y socios que lo usan como señal de madurez de seguridad.
• Licitaciones privadas donde es un requisito eliminatorio.

Tipo I y Tipo II: la diferencia clave

Existen dos tipos de informe. El Tipo I evalúa el diseño de los controles en una fecha concreta: el auditor comprueba que los controles existen y están bien diseñados, pero no que funcionen de forma sostenida. El Tipo II evalúa además la eficacia operativa de los controles durante un periodo, que suele estar entre tres y doce meses.

Muchos clientes aceptan un Tipo I como primer paso, pero esperan un Tipo II después. Una estrategia frecuente es obtener un Tipo I para desbloquear ventas mientras se acumula evidencia para un primer Tipo II con un periodo corto, y después pasar a periodos anuales. Como el informe cubre un periodo pasado, entre informes se suele entregar una carta puente, o bridge letter, de la dirección.

Qué contiene un informe SOC 2

Conocer la estructura ayuda a preparar el contenido y a entender qué leerá el cliente.

• Opinión del auditor: el apartado que más miran los clientes; las salvedades o excepciones llaman la atención.
• Afirmación de la dirección sobre la descripción del sistema y los controles.
• Descripción del sistema: servicios, infraestructura, software, personas, procesos y datos dentro del alcance.
• Organizaciones subcontratadas, como el proveedor cloud, y si se tratan por el método de exclusión o de inclusión.
• Controles complementarios de la entidad usuaria: lo que el cliente debe hacer por su parte, por ejemplo gestionar sus propios usuarios.
• Controles, criterios relacionados, pruebas del auditor y resultados, en el Tipo II.

Cómo prepararse paso a paso

La preparación se parece a la de cualquier marco de seguridad, con la particularidad de que el auditor querrá evidencia continua durante el periodo de observación. Planifícalo así:

• Define el alcance: qué producto o servicio, qué sistemas y qué criterios además de seguridad.
• Haz una evaluación de preparación, o readiness, para identificar controles que faltan frente a los criterios.
• Implanta controles básicos: gestión de accesos con MFA, revisiones periódicas de permisos, gestión de cambios con aprobación, copias de seguridad probadas, registro y monitorización, gestión de vulnerabilidades.
• Formaliza procesos de personas: verificación de antecedentes cuando proceda y la ley lo permita, formación de seguridad, altas y bajas documentadas.
• Gestiona proveedores: inventario, evaluación de riesgos y revisión de sus propios informes SOC 2.
• Elige una firma CPA con experiencia en tu sector y acuerda el tipo de informe y el periodo.
• Recoge evidencia de forma sistemática desde el primer día del periodo de observación.

Errores habituales en el primer informe

El primer informe SOC 2 suele complicarse por decisiones tempranas mal tomadas. Un alcance demasiado amplio, que incluye productos o sistemas que los clientes no han pedido, multiplica la evidencia necesaria. Lo contrario también ocurre: excluir un componente crítico que el cliente considera parte del servicio y que después pregunta por separado.

En el Tipo II, el problema más frecuente son las excepciones por controles que no se ejecutaron todos los periodos, como revisiones trimestrales de accesos que se olvidaron o bajas de empleados que no se cerraron a tiempo. Estas excepciones aparecen en el informe y el cliente las leerá. Automatizar recordatorios y registros desde el inicio del periodo evita la mayoría. También conviene revisar con cuidado la descripción del sistema, porque es un texto que la dirección afirma como correcto.

SOC 2 frente a ISO 27001 para una empresa española

No son excluyentes. ISO/IEC 27001 es una norma internacional certificable, muy reconocida en Europa, que exige un sistema de gestión con análisis de riesgos, Declaración de Aplicabilidad y mejora continua. SOC 2 es un informe de controles muy reconocido en Norteamérica. Gran parte de los controles se solapan, por lo que una empresa con ISO 27001 puede llegar a SOC 2 con un esfuerzo incremental.

Recuerda también que SOC 2 no sustituye obligaciones legales europeas como el RGPD. Si eres proveedor de clientes estadounidenses y tratas datos personales de residentes en la UE, ambas cosas se aplican a la vez. Una autoevaluación gratuita en baltum.ai muestra tu grado de preparación frente a los criterios de SOC 2 y qué controles conviene reforzar antes de contactar con un auditor.

Este artículo es informativo y no constituye asesoramiento jurídico. baltum.ai es un software independiente, no un organismo de certificación.