Cumplimiento de la norma SOC 2
SOC 2 se ha convertido en la señal de confianza de facto para las empresas de SaaS y de servicios, lo que significa que muchas organizaciones lo persiguen porque el equipo de compras de un cliente lo exigió, y no porque se propusieran crear un entorno genuinamente bien controlado. Eso está bien como motivación inicial, pero la auditoría solo sale bien si los controles son reales en el momento en que el auditor comienza las pruebas, y no si se han montado a toda prisa la semana anterior al inicio del periodo de auditoría.
Tipo I frente a Tipo II, y por qué es importante
Un informe de tipo I comprueba si los controles están diseñados adecuadamente en un momento concreto. Un informe de Tipo II comprueba si dichos controles han funcionado de manera efectiva durante un periodo determinado, normalmente de varios meses a un año, lo que significa que no es posible simularlo con una actualización de políticas de última hora: el auditor desea evidencia que abarque todo el periodo: registros de revisión de accesos del segundo mes, no solo del undécimo; tickets de gestión de cambios de todo el periodo, no un conjunto «limpio» de las últimas semanas. La mayoría de los clientes que solicitan la certificación SOC 2 en realidad desean el informe de Tipo II, por lo que lo planifico así desde el principio, en lugar de considerar el Tipo I como un atajo.
Cómo preparo a una organización
Empiezo por determinar qué criterios de servicios de confianza son realmente aplicables: la seguridad es obligatoria, pero la disponibilidad, la confidencialidad, la integridad del tratamiento y la privacidad dependen de lo que realmente haga y de lo que soliciten sus clientes. A partir de ahí, realizo una evaluación del grado de preparación con respecto a los criterios pertinentes, analizando con honestidad en qué casos los controles funcionan realmente y en cuáles existen solo sobre el papel, pero no se siguen de forma sistemática —revisiones de acceso que se llevan a cabo de forma esporádica, gestión de cambios que se omite bajo la presión de los plazos, gestión de riesgos de proveedores que es más una aspiración que una práctica—. Corregimos esas deficiencias y, lo que es fundamental, nos aseguramos de que la evidencia se genere y se conserve a medida que avanza el proceso, ya que la certificación de Tipo II se gana o se pierde en función de la evidencia recopilada a lo largo del período, no de la reconstruida a posteriori.
Una vez que el entorno de control sea sólido, le ayudo a colaborar de manera eficiente con su auditor: evidencia bien organizada, respuestas coherentes en todas las entrevistas y sin sorpresas, ya que las deficiencias ya se habrán subsanado antes de que comience la auditoría.
A quién va dirigido
Empresas de SaaS y de servicios que necesitan la certificación SOC 2 para cerrar acuerdos empresariales, organizaciones que han obtenido la certificación de Tipo I y ahora necesitan mantener los controles durante el periodo de Tipo II, y equipos que desean que su próxima auditoría sea una confirmación de lo que ya es un hecho, y no un simulacro de emergencia.
Si tiene prevista una auditoría SOC 2, póngase en contacto con nosotros y pongamos en marcha los controles antes de que llegue el auditor.