SOC 2

SOC 2 es un informe independiente de un auditor sobre cómo una organización proveedora de servicios protege los datos y los sistemas que opera para sus clientes. El marco proviene del American Institute of Certified Public Accountants (AICPA), y el informe lo redacta una firma de CPA con licencia. SOC significa System and Organization Controls, así que, pese a la sigla parecida, no tiene relación con un centro de operaciones de seguridad.

La vara de medir son los Criterios de Servicios de Confianza (Trust Services Criteria): seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. La seguridad siempre se incluye, y la organización elige cuáles de los otros cuatro encajan con el servicio que vende. Luego el auditor examina la descripción del sistema que hace la dirección y los controles que respaldan los criterios, y emite una opinión.

SOC 2 no es una ley ni un certificado. Nadie está obligado a tenerlo, y el auditor no entrega una nota de aprobado: el informe dice si los controles cumplieron los criterios y enumera las excepciones encontradas. Los compradores lo piden porque ofrece una visión externa de la seguridad de datos del proveedor que un cuestionario no puede dar.

El informe SOC 2 es el final de un proceso, no el proceso en sí. La auditoría es corta frente a la preparación, y la mayor parte del trabajo ocurre antes de que llegue el auditor:

1. 1

   Definir alcance y criterios

   Decide qué servicios, sistemas y ubicaciones entran y qué categorías además de Security incluir.

2. 2

   Hacer una evaluación previa

   Compara los controles actuales con los criterios y enumera las brechas antes de que las encuentre un auditor.

3. 3

   Operar y registrar

   Cierra las brechas, luego ejecuta los controles en el trabajo diario y guarda los registros: tickets, logs, revisiones de acceso, aprobaciones.

4. 4

   Pasar la auditoría

   Una firma de CPA independiente revisa la descripción del sistema y prueba los controles frente a los criterios.

5. 5

   Recibir y compartir el informe

   El informe incluye la opinión del auditor, suele compartirse con los clientes bajo NDA y se renueva en ciclos regulares, por lo general cada año.

La seguridad es obligatoria y forma los criterios comunes: acceso, gestión de cambios, evaluación de riesgos, monitoreo y respuesta a incidentes. Los otros cuatro se añaden solo cuando el servicio hace promesas sobre ellos:

SOC 2 pide a la organización demostrar quién puede acceder a los datos de los clientes, cómo se protege ese acceso y cómo se registran los cambios en los sistemas. Anexet no es una herramienta de auditoría, pero su consola guarda varios de esos registros: los privilegios se asignan por grupo de usuarios, guardar los ajustes de la consola de administración puede exigir una contraseña adicional, y las sesiones terminan automáticamente tras un tiempo definido, y el Journal registra las acciones de los administradores. Los eventos también pueden enviarse a un SIEM para el monitoreo centralizado.

1 / 3

• 
• 
• 

Un informe Type I describe los controles y da la opinión del auditor sobre si están diseñados adecuadamente en un momento puntual. Un informe Type II abarca un período, normalmente de varios meses a un año, y añade las pruebas del auditor sobre si los controles realmente operaron con eficacia durante todo ese tiempo.

Para el comprador, el Type II pesa más: un control que existe no es lo mismo que uno que funcionó cada semana. Muchos proveedores empiezan con el Type I para tener algo que mostrar y luego pasan al Type II. Los clientes también piden una bridge letter, una breve declaración de la dirección sobre el tiempo entre el fin del período y hoy. Es una declaración del propio proveedor, no una auditoría.

SOC 1 trata los controles relevantes para la información financiera del cliente, SOC 2 los criterios de servicios de confianza, y SOC 3 es un resumen breve de uso general del mismo tipo de trabajo que SOC 2, sin las pruebas detalladas, por lo que puede publicarse.

ISO/IEC 27001 es el otro documento que piden los compradores. Es la certificación de un sistema de gestión de seguridad de la información (ISMS) por un organismo acreditado, mientras que SOC 2 es un informe de atestación sobre controles que describe la propia organización. Uno no sustituye al otro, pero un solo conjunto de evidencias mantenido mediante la gestión del cumplimiento puede servir a ambos.

La mayoría de los problemas surgen de tratar SOC 2 como una insignia y no como una forma de operar. Los clientes cuidadosos leen alcance, período y excepciones antes que la opinión, porque las brechas de un proveedor se vuelven también su propio riesgo de cumplimiento. Los patrones se repiten:

• Decir que una empresa está “certificada SOC 2” cuando no hay certificado, solo un informe
• Definir un alcance tan estrecho que el informe deja fuera el producto que el cliente realmente usa
• Intentar reconstruir evidencias después de terminado el período, cuando una prueba Type II cubre todo el período
• Leer solo la opinión y saltarse las excepciones y los controles que el propio cliente debe ejecutar
• Suponer que el criterio de Privacidad demuestra el cumplimiento de una ley de privacidad como el RGPD

Empieza por lo que los clientes realmente piden, no por los criterios. Elige como alcance el servicio que compran, empieza con Security y añade las otras categorías solo cuando un cliente las necesite. Después haz una evaluación previa y da a los controles tiempo suficiente para dejar registro antes de que empiece el período de auditoría.

Haz que los sistemas generen la evidencia como subproducto del trabajo normal: listas de acceso, registros de cambios e informes de seguridad programados, en lugar de capturas de pantalla reunidas a toda prisa al final. Un informe barato de renovar es el que se sigue renovando.