Qué es un informe SOC 2 y quién lo emite
SOC 2 es un marco de informes creado por el American Institute of Certified Public Accountants (AICPA). Una organización de servicios, normalmente una empresa SaaS, un proveedor cloud o un proveedor de servicios gestionados, encarga a una firma de auditoría independiente (CPA) que examine sus controles frente a los criterios de servicios de confianza del AICPA. El resultado es un informe que la organización comparte con los clientes que necesitan garantías sobre cómo se tratan sus datos.
El informe tiene una estructura fija. Incluye la opinión del auditor, una declaración escrita firmada por la dirección de la organización, una descripción del sistema dentro del alcance y los controles vinculados a cada criterio. En un informe Tipo II hay una sección más: la descripción de las pruebas que el auditor hizo sobre cada control y sus resultados, incluidas las excepciones encontradas. En esa sección adicional está la mayor parte de la diferencia entre los dos tipos.
Una atestación, no una certificación
SOC 2 es una atestación, no una certificación. Nadie recibe un certificado SOC 2. Lo que recibe la organización es la opinión del auditor sobre si la descripción del sistema es fiel y si sus controles cumplen los criterios, recogida en el propio informe. No hay nota mínima ni sello. Un informe puede llevar una opinión favorable (sin salvedades) o una opinión con salvedades cuando el auditor concluye que ciertos criterios no se cumplieron.
Esto importa cuando un cliente pregunta "¿estáis certificados en SOC 2?". La respuesta precisa es "tenemos un informe SOC 2 Tipo II que cubre este periodo, emitido por esta firma". Los equipos de compras y de seguridad que conocen el marco leen el periodo, el alcance y la opinión, no un distintivo.
Los criterios de servicios de confianza dentro del alcance
Los criterios se agrupan en cinco categorías: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. La seguridad, también llamada criterios comunes, se incluye en todos los exámenes SOC 2. Las otras cuatro se añaden según lo que la organización se haya comprometido a ofrecer a sus clientes. Una plataforma de pagos con compromisos de disponibilidad puede añadir disponibilidad; una empresa que trata documentos confidenciales de clientes puede añadir confidencialidad.
El alcance es una decisión con consecuencias. Cada categoría añadida trae más criterios, más controles y más evidencias que generar durante todo el periodo. El artículo sobre los cinco criterios de servicios de confianza de SOC 2 explica cada categoría en detalle. Para comparar Tipo I y Tipo II, lo importante es que los criterios son los mismos en ambos informes. Lo que cambia es la profundidad con la que el auditor los prueba.
Qué evalúa un informe Tipo I
Un informe Tipo I responde a una sola pregunta: en una fecha concreta, ¿estaban los controles de la organización diseñados de forma adecuada para cumplir los criterios, y estaban implantados? El auditor no elige un periodo. Examina el sistema y los controles tal como están en esa fecha, y a partir de ahí forma su opinión.
Para ello revisa la descripción del sistema, recorre cada control con las personas que lo ejecutan e inspecciona documentación suficiente para confirmar que el control existe y cumpliría los criterios si funcionara tal como se describe. Una política que exige revisiones de accesos trimestrales, un procedimiento de revisión documentado y pruebas de que la herramienta está configurada pueden bastar para un Tipo I. Si la revisión se hizo de verdad cada trimestre no es la pregunta.
El diseño de los controles en una fecha
Diseño significa que el control, tal como está redactado y configurado, cubriría el riesgo que describe el criterio. Un control de revisión de accesos está bien diseñado si indica quién revisa, qué sistemas cubre, con qué frecuencia, qué se hace con los accesos indebidos y dónde se registra el resultado. Un control que dice "los accesos se revisan periódicamente" sin responsable, frecuencia ni registro está mal diseñado, y el auditor de un Tipo I lo señalará.
Por eso un Tipo I sirve como revisión estructurada del programa antes de que exista un historial que probar. Las carencias de alcance, los controles que faltan y los procedimientos vagos salen a la luz pronto, cuando corregirlos cuesta menos. Muchas organizaciones tratan el Tipo I como un hito de preparación hacia el Tipo II más que como un objetivo en sí mismo.
Qué revisa el auditor
En la práctica, un examen Tipo I cubre la descripción del sistema (infraestructura, software, personas, procedimientos y datos), la declaración de la dirección y el diseño e implantación de cada control. El auditor suele pedir políticas, capturas de configuración, documentación de procesos y entrevistas con los responsables de los controles.
Lo que el auditor no hace en un Tipo I es tomar muestras del control a lo largo del tiempo. No pide "las doce revisiones de accesos de este año" ni "cada cambio en producción del periodo con su aprobación". Esa ausencia es justo la razón por la que un Tipo I da una garantía limitada al cliente: dice que los controles existen, no que hayan estado funcionando.
Qué evalúa un informe Tipo II
Un informe Tipo II incluye todo lo del Tipo I y añade la eficacia operativa de los controles durante un periodo definido. La pregunta del auditor pasa a ser: durante estos meses, ¿funcionó cada control de forma constante, tal como estaba diseñado, cada vez que debía hacerlo?
Para responderla, el auditor prueba muestras. En un control diario puede seleccionar varios días repartidos por el periodo; en uno trimestral, normalmente revisará cada trimestre; en controles que dependen de un evento, como las altas, las bajas o los cambios en producción, toma la población de eventos y extrae una muestra. Cada caso muestreado debe tener evidencias de que el control se ejecutó correctamente y a tiempo.
La eficacia operativa durante un periodo
En la eficacia operativa es donde los programas que parecen completos sobre el papel empiezan a mostrar grietas. Un control de bajas bien diseñado falla en un Tipo II si una persona que dejó la empresa conservó el acceso a un sistema de producción durante tres semanas. Un control de gestión de cambios falla si un cambio llegó a producción sin la aprobación documentada. El auditor no valora intenciones; valora el registro.
Por eso un Tipo II convence mucho más al cliente. Demuestra que la organización no solo redactó buenos controles, sino que los ejecutó mes a mes, con la presión normal del día a día. Para un comprador que intenta saber si un proveedor protegerá sus datos, ese historial pesa más que cualquier documento.
Cómo se elige el periodo de observación
La duración del periodo de observación se acuerda con el auditor; lo habitual es entre tres y doce meses. Un primer Tipo II suele usar un periodo más corto para que la organización pueda entregar antes el informe a sus clientes; los siguientes suelen cubrir doce meses y encadenarse unos con otros para que no quede ningún hueco sin cubrir.
Los clientes pueden tener sus propias expectativas. Algunos equipos de compras aceptan un primer periodo más corto; otros piden expresamente seis o doce meses. Antes de elegir el periodo, conviene preguntar a los clientes que originaron la petición qué aceptarán, para que el informe responda a su pregunta a la primera.
Muestreo y excepciones
Cuando un caso muestreado falla, el auditor registra una excepción. Una sola excepción no hunde automáticamente el informe. El auditor tiene en cuenta cuántas excepciones hubo, si fueron aisladas o sistemáticas y si otros controles las compensaron. Las excepciones y la respuesta de la organización se describen en el informe, y los clientes leen esa sección.
Demasiadas excepciones, o una sola grave, pueden llevar a una opinión con salvedades sobre los criterios afectados, y eso lo ve cualquier cliente que lea el informe. La lección práctica es que las evidencias de un Tipo II se construyen día a día durante el periodo, no se reúnen al final.
Por qué los clientes suelen pedir el Tipo II
Cuando el equipo de seguridad de un cliente corporativo envía un cuestionario o pide "vuestro SOC 2", intenta decidir si puede confiar sus datos a un proveedor. Un informe Tipo II le da pruebas independientes de que los controles funcionaron a lo largo del tiempo. Un Tipo I le da pruebas de que los controles existen. En la mayoría de revisiones corporativas, lo que necesitan es lo primero.
Hay una razón por la que la petición suele llegar sin especificar el tipo: quien la envía puede ser del departamento de compras, no de seguridad, y estar siguiendo una lista. El revisor de seguridad que hay detrás normalmente conoce la diferencia.
Qué buscan los cuestionarios de compras y de seguridad
Quien revisa un informe SOC 2 suele comprobar cinco cosas: el tipo de informe, el periodo cubierto y lo reciente que es, qué criterios de servicios de confianza entran en el alcance, si la opinión es favorable y qué excepciones se registraron. También revisa los controles complementarios de la entidad usuaria, es decir, los controles que se espera que aplique el propio cliente, y cómo se tratan las organizaciones subcontratadas, como los proveedores cloud.
También puede pedir una bridge letter (o carta puente). Es una carta de la dirección de la organización que cubre el tiempo entre el final del último periodo del informe y la fecha actual, y declara que no ha habido cambios significativos en el entorno de control. Es una declaración de la dirección, no un documento de auditoría: el auditor no hace ningún trabajo sobre ese intervalo. Los clientes suelen aceptarla para intervalos cortos, a menudo de hasta unos tres meses.
Qué pasa si se presenta el informe equivocado
El error más habitual es presentar un Tipo I en una revisión que esperaba un Tipo II. La operación no tiene por qué perderse, pero suele ralentizarse. El revisor de seguridad puede pedir una fecha comprometida para el Tipo II, enviar un cuestionario más largo para compensar o exigir compromisos contractuales mientras tanto.
El segundo error es presentar un informe cuyo alcance no cubre lo que el cliente compra. Si el producto que contrata el cliente funciona sobre una infraestructura o con un equipo que quedan fuera de la descripción del sistema, el informe no responde a su pregunta, sea del tipo que sea. Comprobar el alcance frente al caso de uso del cliente antes de empezar el examen evita este problema.
Qué tiene que seguir funcionando durante el periodo de observación
Durante un periodo Tipo II, cada control dentro del alcance tiene que ejecutarse en su plazo y dejar evidencias. Parece obvio, pero es donde más tropiezan los programas, porque los controles dependen de personas que tienen otro trabajo. Las áreas siguientes generan buena parte de las muestras que pedirá el auditor.
Revisiones de accesos, altas y bajas
Las revisiones de accesos deben hacerse con la frecuencia indicada, cubrir todos los sistemas dentro del alcance y registrar las decisiones: quién revisó, qué se retiró y cuándo. Un trimestre sin revisión es una excepción que no se puede arreglar después, porque el auditor comprueba si se hizo en su momento.
Las altas y bajas dependen de un evento. Para cada nueva incorporación debe existir una solicitud de acceso aprobada acorde con su puesto; para cada baja, los accesos deben retirarse en el plazo que fije el control, en todos los sistemas, incluidas las herramientas SaaS que quedan fuera de la gestión central de identidades. Las cuentas olvidadas en alguna herramienta tras una baja son una de las fuentes de excepciones más frecuentes.
Monitorización, incidentes y gestión de cambios
Los controles de monitorización deben demostrar que las alertas se generaron, se revisaron y se gestionaron. Si el control dice que las alertas de seguridad se clasifican, el auditor tomará una muestra de alertas y buscará pruebas de esa clasificación y de su resultado. Si hubo incidentes, el proceso de respuesta debe mostrar detección, clasificación, gestión, comunicación y lecciones aprendidas tal como se describe.
La gestión de cambios genera algunas de las muestras más grandes. Cada cambio en producción dentro del alcance debe mostrar la solicitud, la revisión, la aprobación, las pruebas y el despliegue tal como indica el control. Los cambios urgentes necesitan su propio circuito documentado. Un equipo que de vez en cuando sube cambios a producción sin el paso de aprobación acumulará excepciones rápidamente.
Revisión de proveedores
La mayoría de organizaciones de servicios dependen de organizaciones subcontratadas: alojamiento cloud, procesadores de pagos, proveedores de identidad. SOC 2 espera que la organización evalúe a esos proveedores y haga su seguimiento a lo largo del tiempo, a menudo recogiendo y revisando sus propios informes SOC 2. Si el control dice que los proveedores se revisan cada año, el auditor comprobará que las revisiones se hicieron y que los hallazgos tuvieron seguimiento.
El informe también indica si las organizaciones subcontratadas se tratan con el método de exclusión (carve out), en el que sus controles quedan fuera y se remite al cliente al informe del propio proveedor, o con el método inclusivo, en el que sus controles se cubren dentro del informe. Con el método de exclusión, el informe enumera además los controles que la organización da por hecho que aplica el proveedor, llamados controles complementarios de la organización subcontratada. La mayoría de organizaciones que dependen de grandes proveedores cloud usan el método de exclusión.
Cómo pasar del Tipo I al Tipo II
El camino habitual es hacer una evaluación de preparación, cerrar las carencias, obtener un Tipo I para confirmar el diseño y después abrir el periodo de observación del primer Tipo II. Algunas organizaciones se saltan el Tipo I y van directamente a un Tipo II con un primer periodo más corto. Ninguna de las dos vías es incorrecta; la elección depende de si los clientes necesitan algo antes y de la confianza que tenga la organización en el diseño de sus controles.
Lo que más importa es lo que ocurre entre uno y otro. Una vez que empieza el periodo de observación, el trabajo pasa de construir controles a ejecutarlos. Las evidencias deben recogerse de forma continua, las excepciones deben detectarse y corregirse mientras aún hay margen, y los responsables de los controles necesitan a alguien que lleve el seguimiento de lo que vence. La plataforma de Qalea vincula los controles de SOC 2 y recoge evidencias de forma continua durante todo el periodo, y el equipo de Qalea aporta acompañamiento y seguridad operada, con monitorización SOC, gestión de vulnerabilidades y supervisión de un vCISO, para que los controles que describe el informe sean los que de verdad están funcionando. La firma CPA sigue siendo la parte independiente que emite el informe.
Cómo se relaciona SOC 2 con la ISO 27001
SOC 2 y la ISO 27001 cubren buena parte del mismo terreno, por eso a las empresas que venden a clientes de Estados Unidos y de Europa a menudo les piden los dos. La diferencia está en la forma. La ISO 27001 es una norma certificable: una entidad de certificación acreditada audita el sistema de gestión y emite un certificado, al que siguen auditorías de seguimiento. SOC 2 es una atestación: una firma CPA examina los controles y emite su opinión en un informe.
En la práctica, una gran parte de los controles y las evidencias sirve para ambos. La gestión de accesos, la gestión de cambios, la respuesta a incidentes, la gestión de proveedores y el análisis de riesgos aparecen en los dos marcos. El artículo ISO 27001, SOC 2 y TISAX: qué tienen en común muestra dónde coinciden y dónde se separan, y qué evalúa realmente una auditoría de certificación explica cómo abordan los auditores las evidencias en cada caso. Gestionar ambos desde un único conjunto de controles, en lugar de dos programas paralelos, es lo que evita que el segundo marco duplique el trabajo. El resto de la serie está en la página de SOC 2.
