SOC 2: qué es, Tipo 1 y Tipo 2 y en qué se diferencia de ISO 27001

Qué es SOC 2

SOC son las siglas de System and Organization Controls, una familia de informes que definió el AICPA, el instituto de contadores públicos de Estados Unidos. SOC 2 es un encargo de atestación: un auditor de servicio, que debe ser una firma CPA independiente, examina el sistema con el que una organización de servicios atiende a sus clientes, las entidades usuarias, y emite una opinión.

Tres ideas evitan la mayoría de los malentendidos:

• No se aprueba ni se suspende. El resultado es una opinión, que puede ser favorable o tener salvedades, y un informe que el cliente lee para decidir si le basta.
• No hay una lista de controles obligatoria. Los criterios describen resultados; cada organización diseña sus propios controles y explica cómo los cumplen.
• El informe es confidencial. Se entrega a clientes y a otras partes especificadas, normalmente bajo acuerdo de confidencialidad, no se publica.

Las normas que rigen el examen son las secciones AT-C 105 y 205 de los estándares de atestación del AICPA. Fuera de Estados Unidos el marco equivalente es la norma internacional ISAE 3000, y algunas firmas emiten informes con ambas referencias.

SOC 1, SOC 2 y SOC 3

El número no indica un nivel de exigencia. Cada informe responde a una pregunta distinta y tiene un lector distinto:

SOC 1 sirve cuando tu servicio afecta a los estados financieros de tus clientes: nóminas, facturación, custodia de activos. SOC 2 es el que piden los equipos de seguridad y compras para cualquier proveedor que trate sus datos. SOC 3 resume el mismo examen en unas pocas páginas para publicarlo en la web: sirve de escaparate, pero un cliente exigente seguirá pidiendo el SOC 2 completo. El AICPA también define informes para el programa de ciberseguridad de toda una entidad (SOC for Cybersecurity) y para la cadena de suministro (SOC for Supply Chain).

Los criterios de servicios de confianza

El examen se mide contra los criterios de servicios de confianza (TSC, por sus siglas en inglés), publicados por el AICPA en 2017 y con los puntos de enfoque revisados en 2022. Se agrupan en cinco categorías. Seguridad entra siempre; las otras cuatro las eliges según los compromisos que hayas asumido con tus clientes.

Los 33 criterios de seguridad se llaman criterios comunes porque se aplican sea cual sea la categoría examinada. Las cinco primeras series reproducen la estructura del marco de control interno COSO 2013; las cuatro siguientes bajan a los sistemas:

¿Qué categorías incluir? La regla práctica: las que se correspondan con lo que ya prometes. Si tu contrato fija un acuerdo de nivel de servicio, tiene sentido disponibilidad. Si custodias información confidencial de tus clientes, confidencialidad. Integridad del procesamiento encaja cuando tu servicio calcula o transforma datos de los que dependen sus decisiones, y privacidad cuando tratas datos personales y quieres un examen específico sobre ellos.

Tipo 1 y Tipo 2

La diferencia entre los dos tipos es el tiempo. Un Tipo 1 mira una fecha; un Tipo 2, un periodo. Cambia el tipo y el periodo para ver qué tiene que probar el auditor en cada caso:

Qué contiene el informe

Además de las secciones, conviene conocer tres conceptos que aparecen en todo informe:

• Controles complementarios de las entidades usuarias (CUEC). Lo que tu cliente debe hacer de su parte para que tus controles funcionen, por ejemplo, dar de baja a sus propios usuarios. El informe los enumera y el cliente debe revisarlos.
• Organizaciones de subservicio. Tus proveedores críticos, como el proveedor de nube. El informe puede incluir sus controles (método inclusivo) o, lo más habitual, excluirlos (carve-out) y remitir a sus propios informes SOC.
• Carta puente. Un informe Tipo 2 cubre hasta el final de su periodo. Para los meses que pasan hasta el siguiente, la dirección emite una carta en la que declara que no ha habido cambios significativos. La firma la organización, no el auditor.

SOC 2 frente a ISO 27001

Los dos marcos hablan de seguridad de la información y comparten buena parte de los controles, pero responden a preguntas distintas. ISO 27001 certifica que tienes un sistema de gestión que identifica riesgos y los trata de forma continua. SOC 2 informa de si tus controles cumplen unos criterios, y en el Tipo 2, de si funcionaron durante un periodo.

El solapamiento es grande. La evaluación de riesgos que exige ISO 27001 cubre la serie CC3, y la mayoría de controles del Anexo A, como los de accesos, cambios, operaciones, proveedores o incidentes, sirven como controles de los criterios comunes. Lo que SOC 2 añade es la descripción del sistema, los compromisos de servicio como referencia y, en el Tipo 2, la necesidad de demostrar con registros que cada control funcionó durante todo el periodo. Lo que ISO 27001 añade es el sistema de gestión: objetivos, auditoría interna, revisión por la dirección y mejora continua.

Cómo preparar un SOC 2 paso a paso

1. 1

   Define el sistema y las categorías

   Qué servicio entra, con qué infraestructura, software, personas, procedimientos y datos, y qué categorías además de seguridad. Decide también si empiezas por un Tipo 1.
2. 2

   Evalúa los riesgos

   Sobre tus compromisos de servicio y los requisitos del sistema. El criterio CC3 pide considerar expresamente el fraude y los cambios que afectan al control interno.
3. 3

   Asigna controles a los criterios

   Para cada criterio aplicable, qué controles lo cumplen. Los criterios que no son pertinentes para tu sistema se identifican y se explica por qué.
4. 4

   Haz una evaluación previa

   Una revisión de preparación (readiness), interna o con un asesor, para encontrar brechas antes de que las encuentre el auditor. Corrige lo que falte.
5. 5

   Redacta la descripción y la aseveración

   Las escribe la organización, no el auditor: servicios, compromisos, componentes, incidentes, CUEC y subservicios.
6. 6

   Opera el periodo y guarda la evidencia

   En el Tipo 2, cada control debe dejar registro cada vez que se ejecuta: revisiones de acceso, tickets de cambio, copias, formación, evaluaciones de proveedores.
7. 7

   Auditoría y renovación

   El auditor prueba, muestrea y emite el informe. Al día siguiente empieza el próximo periodo, y la carta puente cubre el hueco hasta el nuevo informe.

Qué revisará el auditor

• Que la descripción del sistema sea fiel: lo que dice existe y no omite nada relevante.
• Que cada criterio aplicable tenga controles asignados y que su diseño sea suficiente.
• Que la evaluación de riesgos cubra los compromisos de servicio, el fraude y los cambios.
• En el Tipo 2, que cada control haya funcionado en las muestras elegidas a lo largo del periodo.
• Que los proveedores críticos estén evaluados, con sus propios informes SOC cuando los haya.

Si también preparas ISO 27001, la guía de la Declaración de Aplicabilidad explica cómo justificar los controles, y la de riesgo inherente y residual, cómo puntuar los riesgos que los motivan.

Preguntas frecuentes