Elegir qué criterios incluir es una de las primeras decisiones de un proyecto SOC 2, y una de las que más impacto tiene: cada categoría que se suma agrega controles, evidencia y pruebas durante todo el período de observación. Esta guía explica qué cubre cada categoría, cómo se organizan los criterios comunes de Seguridad y cómo decidir el alcance sin quedarse corto ni pasarse.
Resumen rápido
- Qué son: los criterios del AICPA, en su versión 2017 con puntos de enfoque revisados en 2022, contra los que el auditor evalúa los controles.
- Seguridad es obligatoria: sus 33 criterios comunes son la base de cualquier informe SOC 2, y un informe solo con Seguridad es válido.
- Las otras cuatro son opcionales: se suman cuando el servicio o los contratos lo justifican.
- Más no siempre es mejor: cada categoría extra suma trabajo y evidencia durante todo el período.
- Cambiar el alcance lleva tiempo: una categoría nueva necesita su propio período de observación.
Qué son los Criterios de Servicios de Confianza
Son el marco que define el AICPA para evaluar los controles de una organización de servicios. Antes se los llamaba "principios de servicios de confianza", y la versión vigente es la de 2017, con puntos de enfoque actualizados en 2022.
Cada criterio describe un resultado que los controles tienen que lograr, no un control concreto. Los puntos de enfoque que acompañan a cada criterio son orientaciones sobre qué considerar, pero no una lista obligatoria: cada empresa define sus propios controles y el auditor evalúa si cumplen el criterio.
Las cinco categorías en números
| Categoría | Criterios | ¿Obligatoria? | Ejemplo de lo que exige |
|---|---|---|---|
| Seguridad | 33 | Sí | Control de accesos, gestión de cambios, monitoreo, respuesta a incidentes |
| Disponibilidad | 3 | No | Gestión de capacidad, copias de seguridad, pruebas de recuperación |
| Confidencialidad | 2 | No | Identificar y proteger información confidencial, y eliminarla cuando corresponde |
| Integridad del procesamiento | 5 | No | Entradas, procesamiento y salidas completas, exactas y a tiempo |
| Privacidad | 18 | No | Aviso, consentimiento, uso, conservación y derechos sobre los datos personales |
| Total | 61 |
Resumen con palabras propias de los Trust Services Criteria del AICPA.
Los 33 criterios comunes de Seguridad
Los criterios de Seguridad se llaman "comunes" porque también sostienen al resto de las categorías. Se organizan en nueve grupos; los cinco primeros siguen el marco de control interno COSO, y los cuatro últimos son específicos de seguridad:
| Grupo | Tema | Ejemplos de controles |
|---|---|---|
| CC1 | Entorno de control | Código de conducta, estructura organizativa, responsabilidades de la dirección |
| CC2 | Información y comunicación | Políticas comunicadas, canales para reportar problemas, información a clientes |
| CC3 | Evaluación de riesgos | Identificación y análisis de riesgos, incluido el riesgo de fraude |
| CC4 | Actividades de monitoreo | Evaluaciones periódicas de los controles y seguimiento de deficiencias |
| CC5 | Actividades de control | Selección de controles, políticas y procedimientos que los implementan |
| CC6 | Accesos lógicos y físicos | Altas, bajas, autenticación, revisiones de accesos, cifrado, protección física |
| CC7 | Operación de los sistemas | Detección de vulnerabilidades, monitoreo, respuesta y recuperación ante incidentes |
| CC8 | Gestión de cambios | Cambios en infraestructura y software autorizados, probados y aprobados |
| CC9 | Mitigación de riesgos | Continuidad del negocio y gestión de riesgos de proveedores |
CC6 es, en la práctica, el grupo que más evidencia exige: tiene ocho criterios y casi todos se prueban con muestras de altas, bajas y revisiones de accesos.
Más allá de la tecnología
Aunque SOC 2 suele asociarse con la infraestructura, los criterios alcanzan a toda la organización. Un proyecto SOC 2 involucra a varias áreas:
- Dirección
Gobierno, supervisión y responsabilidades (CC1).
- Personas
Ingresos, salidas, capacitación y acuerdos de confidencialidad.
- Ingeniería e IT
Accesos, cambios, monitoreo, vulnerabilidades y copias de seguridad.
- Compras y administración
Evaluación y seguimiento de proveedores (CC9).
Las categorías opcionales: qué cubren y cuándo incluirlas
Disponibilidad
Evalúa que el servicio funcione según lo comprometido: planificación de capacidad, protección contra interrupciones, copias de seguridad y pruebas de recuperación. Conviene incluirla cuando los contratos tienen acuerdos de nivel de servicio o cuando los clientes dependen del servicio para operar.
Confidencialidad
Evalúa que la información confidencial se identifique, se proteja durante todo su ciclo de vida y se elimine cuando corresponde. Tiene sentido cuando la empresa maneja información sensible de sus clientes, como datos financieros, propiedad intelectual o información estratégica.
Integridad del procesamiento
Evalúa que el sistema procese la información de forma completa, exacta, a tiempo y autorizada. Aplica a servicios que hacen cálculos o transacciones críticas para el cliente, como liquidaciones, facturación o procesamiento de pagos.
Privacidad
Evalúa cómo se tratan los datos personales: aviso, consentimiento, recolección, uso, conservación, eliminación, acceso de los titulares, divulgación a terceros y calidad de los datos. Es la categoría más extensa y conviene incluirla cuando la empresa trata datos personales de consumidores y sus clientes lo exigen.
Cómo decidir qué categorías incluir
| Si la empresa… | Considerar sumar |
|---|---|
| Compromete niveles de servicio o tiempos de funcionamiento en sus contratos | Disponibilidad |
| Maneja información confidencial de sus clientes | Confidencialidad |
| Procesa transacciones o cálculos de los que dependen sus clientes | Integridad del procesamiento |
| Trata datos personales de consumidores finales | Privacidad |
| No tiene ninguna de esas obligaciones con sus clientes | Solo Seguridad |
Antes de ampliar el alcance, conviene preguntarles a los clientes clave qué categorías esperan ver. Sumar categorías "por las dudas" multiplica la evidencia que hay que sostener todo el año sin que nadie lo haya pedido.
Qué pasa cuando cambia el alcance
Si un cliente pide sumar una categoría, por ejemplo Disponibilidad, esa categoría necesita su propio período de observación en un informe Tipo 2. El camino habitual es incluirla primero en un Tipo 1 y, en el ciclo siguiente, en el Tipo 2.
Además, cambiar el alcance de un año a otro hace que los informes sean menos comparables para los clientes que siguen la evolución del proveedor. Por eso conviene pensar el alcance con una mirada de dos o tres años, no solo para el próximo informe.
Si la empresa también tiene ISO 27001, buena parte de los controles se comparten, y la categoría de Privacidad se relaciona con ISO 27701. La comparación está en ISO 27001 vs SOC 2.
Cómo ayuda Certenza con los criterios de SOC 2
Entre que una empresa empieza a preparar sus controles y recibe el informe SOC 2 final suele pasar cerca de un año. La mayor parte de ese tiempo no se va en la auditoría, sino en implementar los controles que exigen los criterios y en ordenar la infraestructura para que dejen evidencia.
Certenza acorta esa etapa. Con el alcance configurado según las categorías que la empresa necesita, los flujos de evaluación de riesgos muestran dónde está parada frente a cada criterio y qué falta implementar. Las políticas se redactan con ayuda de IA, cada control tiene un responsable, y la evidencia se recopila automáticamente desde las herramientas conectadas, en lugar de juntarla a mano antes del trabajo de campo.
El beneficio más grande aparece después del primer informe. Los paneles de monitoreo continuo muestran un control conectado que dejó de cumplirse cuando falla, y no un mes antes de la siguiente auditoría. Y cuando un cliente pide sumar Disponibilidad o Privacidad, el equipo ya sabe qué controles le sirven y cuáles tiene que agregar, y puede planificar el nuevo período de observación con anticipación. Mientras tanto, el Trust Center permite compartir el estado de la seguridad con clientes y auditores.
El informe SOC 2 lo emite una firma de contadores independiente que se contrata por separado.
¿Querés saber cómo estás frente a los criterios?
Te mostramos el estado de tus controles antes de que lo vea un auditor.