Después de la ISO 27001, prevemos un examen SOC 2 Type II. Qué es un informe SOC 2, en qué se diferencian el Type I y el Type II, cómo encaja con la ISO 27001 y el RGPD, y qué pedir mientras el informe no exista.
Si compras software en Norteamérica, tarde o temprano alguien de compras pide un informe SOC 2. En Europa, la pregunta suele girar en torno a la ISO 27001 y el RGPD. Muchos equipos piden ambos. Qalion trabaja con equipos a ambos lados del Atlántico, así que los dos están en nuestra hoja de ruta: primero la ISO 27001 y después el SOC 2 Type II.
Qué es el SOC 2
El SOC 2 es un marco de atestación del American Institute of Certified Public Accountants (AICPA). Una firma independiente de auditores certificados (CPA) examina los controles de una organización de servicios frente a los Trust Services Criteria y emite un informe que describe el sistema, los controles y la opinión del auditor sobre ellos.
A diferencia de la ISO 27001, no es un certificado. Es un informe detallado, que normalmente se comparte con los clientes bajo un acuerdo de confidencialidad, y que tu equipo de seguridad puede leer línea por línea.
Los Trust Services Criteria
Todo informe SOC 2 cubre la seguridad. Los otros cuatro criterios se añaden cuando son relevantes para el servicio, y el alcance final se acuerda con el auditor.
- Seguridad: los sistemas y los datos están protegidos frente a accesos no autorizados.
- Disponibilidad: el sistema está operativo y se puede usar según lo comprometido.
- Integridad del procesamiento: el procesamiento es completo, exacto y puntual.
- Confidencialidad: la información designada como confidencial sigue protegida.
- Privacidad: la información personal se recoge, usa, conserva y elimina según lo comprometido.
Type I y Type II
Un informe Type I examina el diseño de los controles en un momento concreto. Un informe Type II va más allá: el auditor comprueba si esos controles funcionaron realmente de forma eficaz durante un periodo de observación, normalmente de entre tres y doce meses.
Apuntamos al Type II porque responde a la pregunta que importa: si los controles aguantan un martes cualquiera, y no solo el día de la auditoría.
Cómo encaja con la ISO 27001 y el RGPD
Los dos marcos se solapan mucho. El control de acceso, el cifrado, la gestión de cambios, la respuesta a incidentes y la gestión de proveedores aparecen en ambos, así que el sistema de gestión que estamos construyendo para la ISO 27001 se convierte en la base que examina el auditor de SOC 2.
Ninguno sustituye al RGPD. Cuando hay datos personales de la UE en juego, el RGPD sigue decidiendo qué puede tratarse, dónde y en qué condiciones. Nuestros compromisos ahí no cambian: tratamiento en la región que elijas, ninguna transferencia fuera de ella y un contrato de encargo del tratamiento si lo solicitas.
Mientras no exista el informe
No afirmaremos cumplir con SOC 2 antes de que un auditor independiente haya emitido un informe. Cuando esté disponible, lo anunciaremos aquí y lo compartiremos con clientes y clientes potenciales bajo acuerdo de confidencialidad.
Mientras tanto, respondemos con gusto a tu cuestionario de seguridad, te explicamos nuestra arquitectura y nuestros controles, y te mostramos cómo se aíslan los datos de prueba por organización.