SOC 2
Todavía no tenemos SOC 2
Los controles ya operan —están enumerados uno por uno en el inventario de la página de seguridad— y la evidencia se está recolectando sobre ellos. El informe SOC 2 Tipo II está estimado para el cuarto trimestre de 2027, tras una ventana de observación de seis meses.
La fecha es una estimación: la emite un auditor externo y depende de una ventana de calendario que no controlamos.
Antes que nada
Los dos tipos, que no son lo mismo
| Informe | Qué certifica | Cuánto lleva |
|---|---|---|
| Tipo I | Que los controles están diseñados correctamente, evaluados en un momento puntual. | Semanas, una vez que los controles existen y la evidencia está ordenada. |
| Tipo II | Que los controles funcionaron durante un período observado, no sólo que estaban bien diseñados. | La ventana de observación es fija: entre tres y doce meses, habitualmente seis. |
La distinción importa al evaluar a un proveedor: quien dice «tenemos SOC 2» sin aclarar el tipo casi siempre tiene el Tipo I. Vea qué es SOC 2 para el desarrollo completo.
Calendario
La secuencia hasta el informe
- 01 Hoy
Los controles operan y la evidencia se recolecta
Gestión de accesos, control de cambios, respaldos con restauración probada, respuesta a incidentes y separación entre organizaciones están funcionando, enumerados uno por uno en el inventario de la página de seguridad. La recolección de evidencia está en marcha sobre esos controles.
- 02 En paralelo
Cuestionario CAIQ y autoevaluación CSA STAR
Ninguno de los dos requiere un auditor. La autoevaluación queda publicada en el registro público de la Cloud Security Alliance, verificable sin pasar por nosotros. Con eso se responde un cuestionario de proveedor sin esperar al informe SOC 2.
- 03 Auditoría puntual
SOC 2 Tipo I
Un tercero verifica que los controles están diseñados correctamente. Es el documento que permite avanzar en la mayoría de las negociaciones mientras el Tipo II está en curso. Se emite algunos trimestres antes del Tipo II, en la fecha que fije el auditor.
- 04 Seis meses
Ventana de observación
Tiempo de calendario operando con los controles en funcionamiento. Lo exige el propio marco de auditoría y no se puede comprimir.
- 05 Estimado Q4 2027
SOC 2 Tipo II
El auditor verifica que los controles funcionaron durante el período observado, no sólo que estaban bien diseñados. Es el documento que pide un comprador grande, y es lo que la mayoría quiere decir cuando pide «SOC 2».
Si necesita algo antes
Es una situación habitual y tenemos con qué responder hoy mismo: el acuerdo de tratamiento de datos listo para firmar, la lista de sub-procesadores, la ficha técnica de nuestro conector de red, la política de divulgación de vulnerabilidades y el documento técnico de arquitectura bajo pedido, además de una llamada técnica con quien su equipo de seguridad quiera poner del otro lado.
La documentación técnica de seguridad también está publicada entera, con el inventario de controles fila por fila.
Y si su política exige SOC 2 sin excepciones, dígalo temprano: le decimos si llegamos a su plazo.
Siga leyendo
- Centro de confianza Los documentos que puede descargar hoy, sin formulario ni pedido por correo.
- Cómo protegemos la información de su empresa Los controles concretos que un auditor va a mirar, descritos uno por uno.
- Qué es SOC 2 La diferencia entre Tipo I y Tipo II, y qué sustitutos razonables existen mientras un proveedor no lo tiene.
- Preguntas sobre inteligencia artificial La sección de IA que trae hoy todo cuestionario de proveedor, respondida.