¿Qué es SOC 2?
SOC 2 es un marco de atestación del American Institute of CPAs (AICPA). Una firma de auditoría CPA con licencia examina los controles de una organización de servicios y emite un informe para clientes y socios. Es un informe, no un certificado.
El examen se basa en los Trust Services Criteria: seguridad (siempre incluida), disponibilidad, integridad del procesamiento, confidencialidad y privacidad. Las categorías adicionales se eligen según los servicios que presta.
SOC 2 Type I frente a Type II
- Type I: el auditor comprueba si los controles están bien diseñados en una fecha concreta
- Type II: el auditor comprueba si los controles funcionaron eficazmente durante un periodo, normalmente de 3 a 12 meses
- Muchas empresas empiezan por Type I para desbloquear ventas y después pasan a Type II
- En ambos casos se necesitan políticas escritas y evidencias de que los controles funcionan
Qué cubre el checklist de SOC 2
Las preguntas siguen los Common Criteria que el auditor prueba en la categoría de seguridad:
- Entorno de control, gobierno y roles de seguridad
- Evaluación de riesgos y gestión de proveedores
- Control de acceso lógico y físico, altas y bajas de empleados
- Operación de sistemas: monitorización, gestión de vulnerabilidades y respuesta a incidentes
- Gestión de cambios y desarrollo seguro
- Copias de seguridad, continuidad de negocio y disponibilidad
Brechas típicas antes de una auditoría SOC 2
- Existen políticas, pero nunca se aprobaron ni se comunicaron a la plantilla
- Las revisiones de accesos y las bajas no están documentadas
- No hay una evaluación formal de riesgos ni de proveedores
- Los cambios llegan a producción sin registro de revisión o aprobación
- Hay registros y alertas, pero nadie los revisa con regularidad
¿Quién pide un informe SOC 2?
Lo piden sobre todo clientes estadounidenses de empresas SaaS, cloud y de tratamiento de datos. Las empresas europeas suelen combinar SOC 2 con ISO/IEC 27001, porque los controles coinciden en gran parte. La autoevaluación muestra qué controles ya tiene y cuáles faltan.