Un examen SOC 2 lo firma una firma de auditoría, pero el trabajo de preparación es de la empresa: describir el sistema, demostrar que los controles cumplen los criterios de servicios de confianza y reunir la evidencia. Junsu lo organiza con el mismo método de riesgos por escenarios que usa ISO 27001, en un proyecto propio.
Lo que suele fallar
- Criterios sin controles. Se sabe qué piden los criterios, pero no qué control de la empresa responde a cada uno.
- Alcance difuso. Categorías, organizaciones de subservicio y controles que corresponden al cliente sin decidir antes de que llegue el auditor.
- Dos métodos distintos. La empresa ya trabaja ISO 27001 de una forma y prepara SOC 2 de otra, con criterios y documentos que no se relacionan.
Cómo funciona SOC 2 en Junsu
Cada norma es un recorrido guiado por fases y pasos, siempre con un siguiente paso claro. Este es el de SOC 2:
Contexto de la empresa
Datos de la empresa, estructura de áreas y actividades, responsables y organigrama. Los datos y el organigrama son de la empresa y los comparten todos sus proyectos; la estructura y los responsables se pueden importar de otro proyecto de la misma empresa.Perfil del examen
Las categorías que examinas, el Tipo 1 o 2, las organizaciones de subservicio y los controles complementarios que corresponden al cliente.Riesgo por escenarios
La evaluación de riesgos que piden los criterios, con el motor y el inventario de ISO 27001.Matriz de criterios
Los 61 criterios de servicios de confianza, cada uno vinculado a los controles que lo cumplen o descartado con su motivo.Expediente de 56 requisitos
La documentación que revisará el auditor, con su estado y su evidencia.Versiones
Versiones congeladas del proyecto que un revisor externo puede revisar con su propia vista.
Qué obtienes
- Matriz de criterios. Qué control responde a cada criterio de servicios de confianza.
- Definición del examen. Categorías, Tipo, subservicios y controles complementarios del usuario, decididos y documentados.
- Expediente SOC 2. La evidencia ordenada para la firma auditora.
- Un método conocido. El mismo enfoque de escenarios que ISO 27001 y DORA.
La IA propone, tu equipo decide
La IA de Junsu lee tu documentación, redacta borradores y propone, y señala lo dudoso para que revises solo lo importante. Nunca cierra un paso por sí sola: tu equipo acepta, edita o descarta cada propuesta, y cada decisión queda registrada con su justificación. El Agente de Junsu conversa dentro del proyecto y aplica los cambios que le pidas, y también puedes conectar Claude u otro cliente MCP al proyecto.
Junsu no emite certificaciones ni sustituye al auditor: prepara y documenta el trabajo para que llegue defendible. Cada organización está aislada en la base de datos, el acceso exige MFA y los datos se alojan en AWS en la Unión Europea. Cómo protegemos tus datos.
Antes de empezar: la guía de SOC 2
Si quieres entender primero qué exige la norma, la guía la explica paso a paso, con sus fuentes oficiales y una versión en PDF: SOC 2: qué es, Tipo 1 y Tipo 2 y en qué se diferencia de ISO 27001.
Preguntas frecuentes
¿Junsu emite el informe SOC 2?
No. El informe SOC 2 solo lo puede emitir una firma de auditoría habilitada. Junsu prepara la matriz de criterios y el expediente que esa firma va a revisar.
¿Sirve para Tipo 1 y Tipo 2?
Sí. El perfil del proyecto recoge si el examen es de Tipo 1 o de Tipo 2, junto con las categorías examinadas, las organizaciones de subservicio y los controles complementarios del usuario.
¿Qué versión de los criterios usa?
Los criterios de servicios de confianza del AICPA de 2017, con los puntos de enfoque revisados en 2022.
¿Se parece al trabajo de ISO 27001?
Sí. SOC 2 usa el mismo motor de riesgos por escenarios que ISO 27001 y puede fijar la misma metodología, con su propia matriz de criterios en lugar de la Declaración de Aplicabilidad. Es un proyecto propio: su análisis se evalúa en él, y los documentos de la biblioteca del Workspace pueden servir de evidencia en los dos.