Glosario
SOC 2
También: SOC 2 Tipo I · SOC 2 Tipo II · Service Organization Control 2
SOC 2 es un informe de auditoría externa que evalúa los controles de seguridad de un proveedor de software frente a cinco criterios definidos por el AICPA. No es una certificación que se aprueba o se reprueba: es el informe de un auditor independiente sobre controles concretos.
Hay dos tipos y la diferencia es sustantiva. El Tipo I certifica que los controles están diseñados correctamente en un momento puntual, y se obtiene en semanas una vez que los controles existen. El Tipo II certifica que esos controles funcionaron durante un período observado, y exige una ventana de observación de entre tres y doce meses, habitualmente seis.
Esa ventana es lo único del proceso que no se puede acelerar. No depende del tamaño del equipo ni del presupuesto: son meses de calendario operando con los controles puestos y generando evidencia. Un proveedor que ofrezca un Tipo II en un plazo menor está describiendo otra cosa, casi siempre un Tipo I.
Para una empresa que evalúa un proveedor sin SOC 2, hay sustitutos razonables mientras tanto: el cuestionario CAIQ de la Cloud Security Alliance respondido control por control, una autoevaluación CSA STAR publicada en un registro público verificable, el acuerdo de tratamiento de datos, la lista de sub-procesadores y una llamada técnica entre los dos equipos de seguridad. Ninguno reemplaza el informe, pero juntos permiten tomar una decisión informada.
El error costoso del lado del proveedor es empezar a recolectar evidencia cuando el primer cliente grande la pide. Juntarla desde el principio es barato; reconstruir un año hacia atrás es caro y a veces imposible.