Descripción general de SOC 2

SOC 2 es un marco de auditoría voluntario creado por la AICPA que evalúa cómo las organizaciones de servicios gestionan los datos de los clientes. A diferencia de los requisitos normativos como la HIPAA o la norma PCI DSS, SOC 2 no es una ley. Se trata de un informe de auditoría emitido por una firma independiente de contables públicos certificados (CPA) que evalúa los controles de su organización según los Criterios de Servicios de Confianza de la AICPA.

El marco se aplica a cualquier empresa tecnológica u organización de servicios que almacene, procese o transmita datos de clientes. En la práctica, esto significa que los proveedores de SaaS, las empresas de alojamiento en la nube, las firmas de análisis de datos y los proveedores de servicios gestionados son los candidatos más habituales. Sin embargo, el público al que va dirigido se ha ampliado considerablemente.

Los equipos de compras de las empresas solicitan ahora habitualmente informes SOC 2 durante las evaluaciones de proveedores, lo que convierte a la auditoría en un requisito de facto para hacer negocios con grandes organizaciones. Lo que distingue a SOC 2 es su flexibilidad. No se trata de marcar casillas en una lista fija de cumplimiento.

En su lugar, se define el alcance de la auditoría seleccionando cuáles de los cinco Criterios de Servicios de Confianza se aplican a tus servicios. A continuación, el auditor evalúa si tus controles cumplen dichos criterios de manera eficaz.

Los requisitos de cumplimiento de SOC 2 le impulsan precisamente hacia ese tipo de enfoque estructurado y documentado de la seguridad y la protección de datos, uno que puede reducir tanto el riesgo como los costes. El marco de los Criterios de Servicios de Confianza de la AICPA proporciona la estructura, y el informe de auditoría ofrece a sus clientes las pruebas que necesitan.

Criterios de los servicios de confianza

Los cinco criterios de los servicios de confianza constituyen la columna vertebral de toda auditoría SOC 2. Cada criterio aborda una dimensión específica de cómo se protegen y gestionan los datos. La seguridad es el único criterio obligatorio, pero la mayoría de las organizaciones incluyen al menos uno o dos criterios adicionales en función de sus servicios y de las expectativas de sus clientes.

 Seguridad (Criterios Comunes): la seguridad es la base de todo informe SOC 2. Los Criterios Comunes abarcan los controles de acceso lógico y físico, la supervisión de las operaciones del sistema, la gestión de cambios y la mitigación de riesgos.

Controles como el CC6.4 (restricción del acceso físico y lógico a los activos de información) y el CC6.7 (restricción de la transmisión, el movimiento y la eliminación de información) son fundamentales para demostrar que protege los sistemas frente al acceso no autorizado y las amenazas. Toda auditoría SOC 2 incluye el criterio de Seguridad, independientemente de los demás criterios que seleccione.

 Disponibilidad: la disponibilidad evalúa si sus sistemas están operativos y son accesibles tal y como se ha comprometido en sus acuerdos de nivel de servicio. Aquí es donde la protección de datos cobra una importancia fundamental. El control A1.2 exige que mantenga procesos de copia de seguridad e infraestructura de Recovery. El control A1.3 exige que pruebe su plan de Recovery, no solo que lo documente.

Los auditores quieren comprobar que puede restaurar los sistemas y los datos dentro de los objetivos de tiempo de recuperación y los objetivos de punto de recuperación definidos. Las capacidades de recuperación operativa de Clumio están diseñadas específicamente para esto: copias de seguridad basadas en políticas con programación automatizada y almacenamiento físicamente aislado que cumple tanto con A1.2 como con A1.3.

Confidencialidad: los criterios de confidencialidad (C1.1 y C1.2) se centran en proteger la información designada como confidencial. Esto incluye el cifrado de los datos en reposo y en tránsito, las políticas de retención que definen durante cuánto tiempo se conservan los datos confidenciales y los procesos de destrucción segura cuando expiran los períodos de retención.

Integridad del tratamiento: la integridad del tratamiento evalúa si sus sistemas procesan los datos de forma completa, precisa y oportuna. Este criterio es especialmente relevante para las organizaciones cuyo servicio principal implica la transformación de datos, el cálculo o el procesamiento de transacciones.

 Privacidad: la privacidad aborda la forma en que se recopila, utiliza, conserva, divulga y elimina la información personal. Se solapa en gran medida con los requisitos del RGPD y la CCPA, lo que la convierte en un requisito habitual para las organizaciones que gestionan información de identificación personal (PII) en distintas jurisdicciones.

Tipos de SOC 2

Las auditorías SOC 2 pueden ser de dos tipos, y la distinción es importante. Un informe SOC 2 Tipo 1 evalúa si los controles están correctamente diseñados en un momento concreto. Piensa en ello como una instantánea: el auditor confirma que las políticas y los controles existen y están adecuadamente estructurados en la fecha de la evaluación.

Un informe SOC 2 de Tipo 2 va más allá. Evalúa si esos controles funcionan realmente de manera eficaz durante un periodo definido, normalmente de seis a doce meses. Los auditores revisan las pruebas de una ejecución coherente, incluidos los registros, los registros de cambios, los informes de verificación de copias de seguridad y la documentación sobre la respuesta a incidentes.

El Tipo 2 es el estándar que esperan los compradores empresariales. Un informe de Tipo 1 puede servir como paso intermedio mientras se va creando un historial de auditorías, pero la mayoría de los equipos de compras exigirán un informe SOC 2 de Tipo 2 antes de firmar un contrato.

El periodo de observación prolongado es lo que confiere credibilidad al informe: demuestra que sus controles funcionan en la práctica, no solo sobre el papel.