Descripción general de SOC 2

SOC 2 es un marco de auditoría voluntario creado por el AICPA que evalúa cómo gestionan las organizaciones de servicios los datos de sus clientes. A diferencia de las normativas obligatorias, como la HIPAA o la PCI DSS, SOC 2 no es una ley. Se trata de un informe de auditoría emitido por una firma independiente de contables públicos certificados que evalúa los controles de su organización con arreglo a los criterios del AICPA.Criterios de los servicios fiduciarios.

El marco se aplica a cualquier empresa tecnológica u organización de servicios que almacene, trate o transmita datos de clientes. En la práctica, esto significa que los proveedores de SaaS, las empresas de alojamiento en la nube, las empresas de análisis de datos y los proveedores de servicios gestionados son los candidatos más habituales. Sin embargo, el público al que va dirigido se ha ampliado considerablemente.

Los equipos de compras de las empresas suelen solicitar ahora informes SOC 2 durante las evaluaciones de proveedores, lo que convierte a esta auditoría en un requisito de facto para hacer negocios con grandes organizaciones. Lo que distingue a SOC 2 es su flexibilidad. No se trata de marcar casillas en una lista fija de requisitos de cumplimiento.

En su lugar, se define el alcance de la auditoría seleccionando cuáles de los cinco criterios de los servicios de confianza se aplican a sus servicios. A continuación, el auditor evalúa si sus controles cumplen dichos criterios de manera eficaz.

Los requisitos de cumplimiento de la norma SOC 2 te impulsan precisamente hacia ese tipo de enfoque estructurado y documentado de la seguridad y la protección de datos, capaz de reducir tanto el riesgo como los costes. El marco de los Criterios de Servicios de Confianza de la AICPA proporciona la estructura necesaria, y el informe de auditoría ofrece a tus clientes las pruebas que necesitan.

Criterios de los servicios fiduciarios

Los cinco criterios de los servicios de confianza constituyen la columna vertebral de toda auditoría SOC 2. Cada criterio aborda una dimensión específica de cómo se protegen y gestionan los datos. La seguridad es el único criterio obligatorio, pero la mayoría de las organizaciones incluyen al menos uno o dos criterios adicionales en función de sus servicios y de las expectativas de sus clientes.

 Seguridad (Criterios Comunes) – La seguridad es la base de todo informe SOC 2. Los Criterios Comunes abarcan los controles de acceso lógico y físico, la supervisión de las operaciones del sistema, la gestión de cambios y la mitigación de riesgos.

Medidas de control como la CC6.4 (restricción del acceso físico y lógico a los activos de información) y la CC6.7 (restricción de la transmisión, el movimiento y la eliminación de información) son fundamentales para demostrar que proteges los sistemas frente al acceso no autorizado y las amenazas. Todas las auditorías SOC 2 incluyen el criterio de «Seguridad», independientemente de los demás criterios que selecciones.

 Disponibilidad – La disponibilidad se refiere a si tus sistemas están operativos y son accesibles tal y como se ha comprometido en tus acuerdos de nivel de servicio. Aquí es donde la protección de datos cobra una importancia fundamental. El control A1.2 exige que mantengas procesos de copia de seguridad e infraestructura de Recovery. El control A1.3 exige que pongas a prueba tu plan de Recovery, no solo que lo documentes.

Los auditores quieren comprobar que eres capaz de restaurar los sistemas y los datos dentro de los objetivos de tiempo de recuperación y los objetivos de punto de recuperación establecidos.Las capacidades de recuperación operativa de Clumio’están diseñadas específicamente para este fin: copias de seguridad basadas en políticas, con programación automatizada y almacenamiento «air-gapped» que cumple tanto con los requisitos A1.2 como con los A1.3.

Confidencialidad – Los criterios de confidencialidad (C1.1 y C1.2) se centran en la protección de la información clasificada como confidencial. Esto incluye el cifrado de los datos en reposo y en tránsito, las políticas de conservación que definen durante cuánto tiempo se conservan los datos confidenciales y los procesos de destrucción segura una vez vencidos los plazos de conservación.

Integridad del procesamiento — La integridad del procesamiento evalúa si sus sistemas procesan los datos de forma completa, precisa y oportuna. Este criterio es especialmente relevante para aquellas organizaciones cuyo servicio principal consiste en la transformación de datos, la realización de cálculos o el procesamiento de transacciones.

 Privacidad – La política de privacidad aborda cómo se recopila, utiliza, conserva, divulga y elimina la información personal. Se solapa en gran medida con los requisitos del RGPD y la CCPA, lo que la convierte en un elemento habitual para las organizaciones que gestionan información de identificación personal (PII) en distintas jurisdicciones.

Tipos de SOC 2

Las auditorías SOC 2 pueden ser de dos tipos, y la distinción es importante. Un informe SOC 2 Tipo 1 evalúa si tus controles están correctamente diseñados en un momento concreto. Piensa en ello como una instantánea: el auditor confirma que tus políticas y controles existen y están adecuadamente estructurados en la fecha de la evaluación.

Un informe SOC 2 Tipo 2 va más allá. Evalúa si dichos controles funcionan realmente de manera eficaz durante un periodo definido, que suele oscilar entre seis y doce meses. Los auditores revisan las pruebas que demuestran una ejecución coherente, incluidos los registros, los registros de cambios, los informes de verificación de copias de seguridad y la documentación sobre la respuesta a incidentes.

El Tipo 2 es el estándar que esperan los compradores empresariales. Un informe de Tipo 1 puede servir como paso intermedio mientras se va creando el historial de auditorías, pero la mayoría de los equipos de compras exigirán un informe SOC 2 de Tipo 2 antes de firmar un contrato.

El periodo de observación prolongado es lo que confiere credibilidad al informe: demuestra que tus controles funcionan en la práctica, y no solo sobre el papel.