¿Qué es el certificado?

SOC 2 es un informe de aseguramiento independiente que evalúa los controles de una organización de servicios según los criterios de servicios de confianza: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. Su diferencia con el SOC 1 es el enfoque: el SOC 1 aborda los informes financieros, el SOC 2 aborda la seguridad de la información y la confiabilidad del servicio. Se trata nuevamente de un informe de auditoría, no de un certificado.

¿Quién lo necesita?

Proveedores de servicios SaaS y en la nube
Proveedores de servicios de infraestructura y centros de datos
Empresas de tecnología dentro del alcance de la evaluación de seguridad de un cliente empresarial
Empresas de software que venden servicios en el mercado norteamericano

¿Es obligatorio?

No obligatorio; se obtiene a petición de un cliente empresarial. En el mercado norteamericano, un informe SOC 2 Tipo II se ha convertido casi en un requisito estándar en el proceso de ventas; En Europa, se solicita con mayor frecuencia un certificado ISO/IEC 27001.

Alcance de la norma

Seguridad — el criterio común obligatorio en todo informe SOC 2
Disponibilidad — opcional
Integridad del procesamiento — opcional
Confidencialidad — opcional
Privacidad — opcional
Criterios comunes basados en el marco COSO (la serie CC): entorno de control, comunicación, evaluación de riesgos, monitoreo, actividades de control, acceso lógico y físico, operaciones del sistema, gestión de cambios, mitigación de riesgos.
La descripción del sistema y los límites del alcance.
La distinción Tipo I / Tipo II
Tratamiento de las organizaciones de subservicios
Controles complementarios de entidades de usuario

Proceso de certificación

1Determinación del alcance y el programaSe determinan los sitios y procesos que se auditarán y la duración de la auditoría que requiere el esquema.
2PreevaluaciónOpcionalmente se lleva a cabo un análisis de deficiencias; Las lagunas se hacen visibles antes de la auditoría principal.
3Auditoría in situLa revisión de registros, la observación del sitio y las entrevistas a los trabajadores se llevan a cabo según la lista de verificación del plan.
4Reporte de los hallazgosLos resultados se informan según la clasificación del esquema. El resultado de estos sistemas es un informe de auditoría, no un certificado.
5Acción correctiva y seguimientoSe presenta un plan de acciones correctivas para los hallazgos; se cierra con una auditoría de seguimiento en el marco del plan.

Periodo de validez

El período de validez de los informes de auditoría lo establece el plan y suele oscilar entre uno y dos años. El informe se utiliza durante el período que acepta la marca compradora.

Documentos necesarios

Detalles de la organización y del sitio
Plantilla y patrón de turnos
Permisos y licencias legales
Políticas y procedimientos relevantes
Registros de nómina, tiempo y personal.

Coste de la certificación

No existe un precio de lista fijo; el coste se calcula según las siguientes variables y se proporciona por escrito en el presupuesto.

El número de sitios a auditar y la plantilla.
La duración de la auditoría que prescribe el plan.
Si se solicita una evaluación previa (análisis de deficiencias)
Si se requiere una auditoría de seguimiento

Acreditación

La mayoría de estos sistemas producen informes de auditoría, no documentos, y están sujetos al propio sistema de aprobación del propietario del sistema (por ejemplo, Sedex, amfori, RBA); La acreditación en el sentido clásico no se encuentra en todos los sistemas. La competencia del auditor y la validez del informe están determinadas por las normas del propietario del plan.

El alcance en el que se puede ofrecer este esquema varía según su producto y actividad; se confirma por escrito en la etapa de presupuesto.

Alcance y autorizaciones

Certificaciones relacionadas

Preguntas frecuentes

¿Debo elegir SOC 2 o ISO/IEC 27001?

Depende de tu mercado. Los clientes norteamericanos en su mayoría solicitan SOC 2 Tipo II, mientras que los clientes europeos y asiáticos solicitan ISO/IEC 27001. Debido a que sus conjuntos de controles se superponen sustancialmente, tener uno instalado reduce notablemente la carga del otro; muchas empresas gestionan ambos juntos.

¿Cuánto tiempo es válido un informe SOC 2?

El informe cubre un período de auditoría específico. Los clientes generalmente esperan un informe actualizado que cubra los últimos 12 meses, por lo que en la práctica se renueva anualmente. Si persiste un intervalo entre períodos, los clientes pueden solicitar una carta puente para el ínterin.

¿Necesito incluir los cinco criterios en el alcance?

No. El criterio de seguridad es obligatorio; los demás se seleccionan según la naturaleza de su servicio y las expectativas del cliente. Agregar criterios innecesarios aumenta el alcance y el costo de la auditoría.

Controles de confianza de organizaciones de servicios (SOC 2)