La pregunta "¿qué necesito para SOC 2?" no tiene una respuesta de lista de compras, porque el marco se adapta a los riesgos de cada empresa. Pero en la práctica, los auditores esperan encontrar ciertos controles, documentos y registros. Esta guía baja los criterios a ejemplos concretos: qué control suele cubrir cada criterio, qué evidencia lo respalda y qué documentación conviene tener lista.
Resumen rápido
- Sin lista cerrada: cada empresa define sus controles según sus riesgos; el auditor evalúa si cumplen los criterios.
- La matriz de controles: el documento que relaciona cada control con los criterios que cubre, su responsable, su frecuencia y su evidencia.
- Documentación: descripción del sistema, afirmación de la dirección y un conjunto de políticas que respaldan los controles.
- Evidencia: registros con fecha que muestran que cada control funcionó; en el Tipo 2, durante todo el período.
- No es solo tecnología: también hay requisitos de gobierno, personas, proveedores y comunicación.
Por qué SOC 2 no tiene una lista fija de requisitos
Los Criterios de Servicios de Confianza describen resultados, no controles. Por ejemplo, un criterio pide que el acceso a los sistemas se restrinja a personas autorizadas, pero no dice si eso se logra con autenticación multifactor, con un proveedor de identidades o con revisiones periódicas. Cada empresa elige cómo cumplirlo según su tamaño, su tecnología y sus riesgos.
Eso da flexibilidad, pero también obliga a tomar decisiones y justificarlas. Qué cubre cada criterio está explicado en la guía de Criterios de Servicios de Confianza; esta guía se concentra en cómo se ven en la práctica.
De los criterios a los controles: la matriz de controles
La matriz de controles es el documento central de cualquier proyecto SOC 2. Lista todos los controles de la empresa y, para cada uno, indica:
| Control | Criterios | Responsable | Frecuencia | Evidencia |
|---|---|---|---|---|
| Las bajas de personal se aplican en todos los sistemas dentro de las 24 horas | CC6.2, CC6.3 | IT | Cada vez que alguien se va | Ticket de baja y registro del proveedor de identidades |
| Los cambios en producción requieren revisión y aprobación de otra persona | CC8.1 | Ingeniería | Cada cambio | Historial de aprobaciones en el repositorio |
| La dirección revisa los riesgos y su tratamiento | CC3.1 a CC3.4 | Dirección | Anual | Acta de la revisión y registro de riesgos actualizado |
Ejemplos ilustrativos. Cada empresa define sus propios controles, plazos y frecuencias.
Un mismo control puede cubrir varios criterios, y un criterio puede necesitar varios controles. La matriz es lo primero que revisa el auditor para planificar sus pruebas.
Controles y evidencia típicos para los criterios comunes
| Grupo | Control de ejemplo | Evidencia típica |
|---|---|---|
| CC1 Entorno de control | El personal acepta el código de conducta al ingresar | Registros de aceptación firmados |
| CC2 Comunicación | Existe un canal para reportar incidentes y problemas de seguridad | Política publicada y reportes recibidos |
| CC3 Evaluación de riesgos | Se evalúan los riesgos, incluido el de fraude, de forma periódica | Registro de riesgos con fechas y responsables |
| CC4 Monitoreo | Se revisan los controles y se da seguimiento a las deficiencias | Informes de revisión y tickets de corrección |
| CC5 Actividades de control | Las políticas se aprueban y revisan según lo planificado | Políticas con fecha de aprobación |
| CC6 Accesos | Autenticación multifactor y revisiones periódicas de accesos | Configuración del proveedor de identidades y revisiones firmadas |
| CC7 Operaciones | Monitoreo de alertas y gestión de vulnerabilidades | Registros de alertas, escaneos e incidentes gestionados |
| CC8 Cambios | Revisión y aprobación de cambios antes de producción | Solicitudes de cambio aprobadas |
| CC9 Mitigación de riesgos | Evaluación de proveedores críticos y plan de continuidad | Evaluaciones de proveedores y pruebas del plan |
Requisitos de las categorías opcionales
| Categoría | Control de ejemplo | Evidencia típica |
|---|---|---|
| Disponibilidad (A1) | Copias de seguridad y pruebas de recuperación periódicas | Registros de copias y resultados de pruebas de restauración |
| Confidencialidad (C1) | Clasificación de la información y eliminación segura | Inventario clasificado y registros de eliminación |
| Integridad del procesamiento (PI1) | Validación de datos de entrada y conciliación de resultados | Reglas de validación y conciliaciones revisadas |
| Privacidad (P1 a P8) | Aviso de privacidad, gestión del consentimiento y atención de pedidos de titulares | Aviso publicado, registros de consentimiento y pedidos respondidos |
La documentación que suele hacer falta
Además de la matriz de controles, el auditor va a pedir:
- Descripción del sistema
Servicios, infraestructura, software, personas, procesos y datos dentro del alcance. Forma parte del informe.
- Afirmación de la dirección
La declaración de la empresa sobre su sistema y sus controles.
- Políticas de seguridad
Seguridad de la información, control de accesos, gestión de cambios, respuesta a incidentes, continuidad, proveedores, clasificación de la información y uso aceptable, entre otras.
- Evaluación de riesgos
Metodología, registro de riesgos y tratamiento.
- Inventarios
De sistemas, activos de información y proveedores.
- Organigrama y roles
Quién es responsable de cada control y cómo se supervisa.
Requisitos sobre las personas
Una parte importante de SOC 2 tiene que ver con el ciclo de vida del personal:
- Ingreso: aceptación de políticas y del código de conducta, acuerdos de confidencialidad y, cuando corresponde, verificación de antecedentes en la medida en que lo permita la legislación de cada país.
- Capacitación: concientización en seguridad al ingresar y de forma periódica, con registro de quién la completó.
- Cambios de rol: ajuste de accesos cuando alguien cambia de puesto.
- Salida: baja de accesos en todos los sistemas y devolución de equipos dentro del plazo definido.
Para empresas de Latinoamérica, conviene revisar con el área legal qué verificaciones de antecedentes son válidas en cada país antes de comprometerlas como control.
Qué cambia entre el Tipo 1 y el Tipo 2
| Tipo 1 | Tipo 2 | |
|---|---|---|
| Qué hay que demostrar | Que los controles están diseñados e implementados | Que además funcionaron durante el período |
| Evidencia | Políticas, configuraciones y un ejemplo de cada control | Registros con fecha de todo el período, sobre los que el auditor toma muestras |
| Lo más difícil | Tener todo documentado | No dejar huecos: un mes sin revisión de accesos se convierte en excepción |
Los registros generados automáticamente por los sistemas, con fecha y hora, son la evidencia más confiable para el auditor. Las capturas de pantalla sueltas sirven, pero cuestan más de verificar.
Malentendidos frecuentes
- "SOC 2 es un tema de IT"
Los criterios incluyen gobierno, comunicación, personas y proveedores.
- "Con plantillas alcanza"
Las políticas tienen que reflejar lo que la empresa hace: el auditor compara lo escrito con la evidencia.
- "El riesgo es solo técnico"
La evaluación de riesgos tiene que considerar también el fraude, los proveedores y los cambios del negocio.
- "Los proveedores se revisan al contratarlos"
Se espera un seguimiento durante toda la relación, no solo al inicio.
- "La comunicación es mandar políticas"
También hace falta un canal para que el personal y los clientes reporten problemas.
- "Las categorías opcionales son más livianas"
Una vez incluidas, se auditan con el mismo rigor que Seguridad.
Así se cubren los requisitos de SOC 2 con Certenza
En lugar de armar la matriz de controles, las políticas y las carpetas de evidencia por separado, en Certenza todo vive en el mismo lugar. El recorrido típico es este:
- Configurar el alcance. Se eligen los sistemas y las categorías de confianza, y Certenza muestra qué criterios aplican.
- Evaluar los riesgos. Los flujos de evaluación de riesgos guían el análisis que exigen los criterios comunes y dejan el registro listo para el auditor.
- Generar la documentación. El generador de políticas con IA ayuda a redactar las políticas a partir de cómo trabaja la empresa y a mantenerlas actualizadas.
- Asignar los controles. Cada control queda con un responsable, para que la matriz no sea solo un documento sino un trabajo en marcha.
- Reunir la evidencia. La recopilación automatizada de evidencias trae registros con fecha desde las herramientas conectadas, justo el tipo de evidencia que más valora el auditor.
- Vigilar y compartir. Los paneles de monitoreo continuo muestran qué controles están al día, y el Trust Center permite compartir el estado de la seguridad con clientes y auditores.
El informe SOC 2 lo emite una firma de contadores independiente que se contrata por separado.
¿Querés ver qué requisitos ya cumplís?
Te mostramos el estado de tus controles frente a SOC 2.