Para una empresa de software de Latinoamérica, SOC 2 suele aparecer cuando llega el primer cliente grande de Estados Unidos: su equipo de seguridad pide "el informe SOC 2" antes de firmar. Esta guía explica qué es, qué evalúa, cómo se lee un informe, quién puede emitirlo y cómo es el camino para obtenerlo.
Resumen rápido
- Qué es: un informe de atestación sobre los controles de una organización de servicios, definido por el AICPA.
- Qué evalúa: los Criterios de Servicios de Confianza. Seguridad es obligatoria; disponibilidad, integridad del procesamiento, confidencialidad y privacidad son opcionales.
- Quién lo emite: una firma de contadores públicos (CPA) con licencia en Estados Unidos e independiente. No existe la "autocertificación".
- Tipos: el Tipo 1 evalúa el diseño en una fecha; el Tipo 2, el funcionamiento durante un período. Los clientes corporativos suelen pedir el Tipo 2.
- Vigencia: no vence formalmente, pero los clientes esperan un informe nuevo cada año.
Qué es SOC 2
SOC significa System and Organization Controls. SOC 2 es uno de los informes de esa familia que define el AICPA, el instituto de contadores públicos de Estados Unidos, y está pensado para empresas que prestan servicios y manejan información de sus clientes: plataformas de software, servicios en la nube, procesadores de datos, centros de datos.
Cuando se dice que una empresa "cumple SOC 2", en realidad significa que tiene un informe SOC 2 vigente emitido por un auditor independiente. A diferencia de ISO 27001, no hay un certificado ni un "aprobado o desaprobado": el informe describe los controles, cómo se evaluaron y qué encontró el auditor, y cada cliente saca sus conclusiones.
Los Criterios de Servicios de Confianza
SOC 2 evalúa los controles contra los Criterios de Servicios de Confianza (Trust Services Criteria), agrupados en cinco categorías. La organización elige cuáles incluir según los servicios que presta y lo que les promete a sus clientes:
| Categoría | Pregunta que responde | ¿Cuándo se incluye? |
|---|---|---|
| Seguridad | ¿Está protegido el sistema contra accesos indebidos y daños? | Siempre: es obligatoria |
| Disponibilidad | ¿Funciona el servicio según lo comprometido? | Cuando hay compromisos de nivel de servicio |
| Integridad del procesamiento | ¿Se procesa la información de forma completa, exacta y autorizada? | Cuando el servicio procesa transacciones o cálculos críticos |
| Confidencialidad | ¿Se protege la información confidencial de los clientes? | Cuando se maneja información sensible del negocio |
| Privacidad | ¿Se tratan los datos personales según los compromisos asumidos? | Cuando se tratan datos personales de personas |
Los criterios de Seguridad, conocidos como criterios comunes, se organizan en nueve grupos (CC1 a CC9) que cubren desde el entorno de control y la gestión de riesgos hasta los accesos, las operaciones, los cambios y la gestión de proveedores. A diferencia de una norma con requisitos cerrados, SOC 2 no dice qué controles usar: cada empresa define los suyos y el auditor evalúa si cumplen los criterios.
SOC 2 Tipo 1 y Tipo 2
| Tipo 1 | Tipo 2 | |
|---|---|---|
| Qué evalúa | Si los controles están bien diseñados | Si los controles están bien diseñados y funcionaron |
| Momento | Una fecha determinada | Un período de observación, habitualmente de 3 a 12 meses |
| Pruebas | Revisión del diseño y la implementación | Pruebas sobre muestras de todo el período |
| Plazo para obtenerlo | Más corto | Más largo, porque hay que esperar el período |
| Para qué sirve | Primer paso o respuesta rápida a un cliente | Lo que piden la mayoría de los clientes corporativos |
Muchas empresas empiezan por el Tipo 1 para destrabar una venta y, en paralelo, inician el período de observación del Tipo 2.
Qué contiene un informe SOC 2
- La opinión del auditor: su conclusión sobre los controles.
- La afirmación de la dirección: la declaración de la empresa sobre su sistema y sus controles.
- La descripción del sistema: servicios, infraestructura, software, personas, procesos y datos incluidos en el alcance.
- Los criterios y los controles: qué controles cubren cada criterio.
- Las pruebas y sus resultados: en el Tipo 2, qué probó el auditor y qué excepciones encontró.
Los tipos de opinión
| Opinión | Qué significa |
|---|---|
| Sin salvedades | Los controles cumplen los criterios. Es el resultado que se busca. |
| Con salvedades | Cumplen, salvo en aspectos puntuales que el auditor detalla. |
| Adversa | Los controles no cumplen los criterios de forma generalizada. |
| Abstención | El auditor no pudo obtener evidencia suficiente para opinar. |
Una opinión sin salvedades puede incluir excepciones menores en las pruebas. Por eso los equipos de seguridad de los clientes suelen leer el informe completo, no solo la opinión.
Los proveedores dentro del informe
Casi todas las empresas de software dependen de proveedores, como la nube en la que operan. El informe SOC 2 tiene que explicar cómo se tratan:
- Método de exclusión
Los controles del proveedor quedan fuera del alcance, y el informe indica qué se espera de él. Es lo más habitual con los grandes proveedores de nube, que tienen sus propios informes SOC 2.
- Método inclusivo
Los controles del proveedor se evalúan dentro del mismo informe. Es menos común, porque requiere la participación del proveedor.
- Controles del cliente
El informe también lista los controles que tiene que aplicar el propio cliente, por ejemplo, gestionar bien sus usuarios en la plataforma.
- Carta puente
Si entre el fin del período auditado y la fecha actual pasaron meses, la empresa puede emitir una carta que declare que no hubo cambios importantes.
SOC 1, SOC 2 y SOC 3
| Informe | Qué cubre | Para quién |
|---|---|---|
| SOC 1 | Controles que afectan la información financiera de los clientes | Los auditores financieros de los clientes |
| SOC 2 | Seguridad y las demás categorías de confianza, con todo el detalle | Clientes y socios, bajo confidencialidad |
| SOC 3 | Las mismas categorías que SOC 2, en una versión resumida | Cualquier persona: se puede publicar |
¿Es obligatorio? Quién necesita SOC 2
Ninguna ley exige SOC 2. Se vuelve necesario cuando los clientes lo piden, algo muy habitual en las grandes empresas de Estados Unidos, que lo usan como requisito para contratar proveedores que manejan sus datos.
En Latinoamérica, lo necesitan sobre todo las empresas de software, servicios en la nube y fintech que venden o quieren vender en Estados Unidos. Para clientes de la región o de Europa suele pesar más ISO 27001. La comparación completa está en ISO 27001 vs SOC 2.
Cómo es el camino hacia un informe SOC 2
- Definir el alcance y los criterios. Qué servicios y sistemas entran y qué categorías se suman a Seguridad.
- Medir la brecha. Comparar los controles actuales con los criterios elegidos.
- Implementar los controles y las políticas. Accesos, cambios, monitoreo, incidentes, proveedores, capacitación y gestión de riesgos.
- Elegir la firma auditora. Una firma de contadores habilitada para emitir informes SOC, independiente de quien ayudó a implementar.
- Obtener el Tipo 1 (opcional). Útil si un cliente necesita una respuesta rápida.
- Cumplir el período de observación. Los controles tienen que funcionar y dejar evidencia durante todo el período del Tipo 2.
- Auditoría e informe. El auditor prueba muestras del período y emite el informe algunas semanas después.
- Renovar cada año. El período siguiente empieza donde terminó el anterior, para no dejar huecos de cobertura.
El costo depende sobre todo del alcance, de las categorías incluidas, del tipo de informe y de la firma auditora. El Tipo 2 cuesta más que el Tipo 1, porque implica probar controles durante meses.
Cómo ayuda Certenza a prepararse para SOC 2
Lo más exigente de SOC 2 no es implementar los controles, sino demostrar que funcionaron todos los días del período de observación. Certenza reúne en un solo lugar todo lo que hace falta para llegar a la auditoría con esa demostración lista:
- Un alcance a la medida de la empresa: se eligen los sistemas, los servicios y las categorías de confianza que entran en el informe, para no trabajar sobre controles que no corresponden.
- Recopilación automatizada de evidencias: al conectar las herramientas que la empresa ya usa, las pruebas se recolectan de forma continua y cubren todo el período de observación, no solo las semanas previas a la auditoría.
- Políticas redactadas con ayuda de IA: el generador de políticas ayuda a redactar la documentación que pide SOC 2 a partir de cómo trabaja la empresa, y ayuda a mantenerla al día cuando algo cambia.
- Monitoreo continuo: paneles que muestran el estado de cada control, para detectar un desvío en los controles conectados cuando ocurre y no en medio de la auditoría.
- Cada control con un responsable: queda claro quién se ocupa de qué, qué está pendiente y quién tiene que rendir cuentas, aunque cambie el equipo.
- Evaluación de riesgos guiada: flujos de trabajo para identificar, evaluar y tratar los riesgos, que es la base de los criterios comunes de SOC 2.
- Trust Center para clientes y auditores: un portal que se comparte con un enlace, donde clientes y auditores encuentran la información de seguridad que la empresa decide mostrar, sin intercambiar decenas de correos.
Además, los controles y la evidencia de SOC 2 se reutilizan para ISO 27001 y otros estándares. El informe SOC 2 lo emite una firma de contadores independiente que se contrata por separado.
¿Tus clientes de Estados Unidos piden SOC 2?
Te mostramos cómo llegar a la auditoría con la evidencia lista.