Los cinco criterios
SOC 2 se organiza en torno a los criterios de servicios de confianza: seguridad, obligatoria en todos los informes, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. Un cuestionario con forma de SOC 2 sigue los mismos cinco encabezados. Seguridad pregunta por todo el entorno de control: gobierno, riesgo, acceso, cambios, supervisión y respuesta a incidentes. Disponibilidad pregunta por capacidad, copias de seguridad, continuidad y objetivos de recuperación. Integridad del procesamiento pregunta si el sistema hace lo que dice, de forma completa y precisa. Confidencialidad pregunta cómo se identifica y protege la información confidencial. Privacidad pregunta por los datos personales: aviso, elección, retención y eliminación.
Si tiene un informe
Envíelo bajo NDA, con una bridge letter si el periodo del informe terminó hace más de unos meses. Esté preparado para preguntas sobre las excepciones señaladas por el auditor, los complementary user entity controls, es decir, lo que el informe asume que hace el cliente, y las sub-service organisations excluidas del alcance del informe, normalmente su proveedor de hosting. Un cuestionario que llega junto con una solicitud de informe suele ser breve; responda las filas que el informe no cubre y remita a la sección del informe para el resto.
Si no lo hace
Responda por criterio. En seguridad, las respuestas son las mismas que pide cada cuestionario: control de acceso, gestión de cambios, gestión de vulnerabilidades, registros, respuesta a incidentes, con responsables, frecuencias y evidencia. En disponibilidad, indique sus objetivos de recuperación, el calendario de copias de seguridad y la fecha de la última prueba de restauración. En confidencialidad, el esquema de clasificación y el cifrado implementado. En privacidad, el DPA, la lista de subencargados y las reglas de conservación. La mayoría de los clientes acepta a un proveedor sin informe si ofrece respuestas y evidencia concretas; el informe empieza a justificar su coste cuando el mismo cuestionario llega cada semana.
Las respuestas que se solapan con ISO 27001
La mayor parte del criterio de seguridad se solapa con el Anexo A de ISO 27001. Si conserva una respuesta aprobada por control, las mismas respuestas sirven para un cuestionario SOC 2 y para uno ISO; solo cambian los encabezados. Responsemate redacta un cuestionario en cualquiera de las dos formas desde la misma biblioteca y muestra en cada fila qué entrada usó. Cuestionarios en Responsemate.
Preguntas que hacen las personas
¿Cuál es la diferencia entre SOC 2 Type I y Type II?
Un informe Type I describe sus controles y si estaban diseñados adecuadamente en un momento concreto. Un informe Type II comprueba si funcionaron durante un período, normalmente de seis a doce meses. Los clientes que piden "su SOC 2" casi siempre se refieren a Type II.
¿Puede una empresa europea obtener un informe SOC 2?
Sí, de cualquier firma de auditoría autorizada para emitirlos. Muchas empresas europeas eligen ISO 27001 o un informe ISAE 3000 en su lugar porque sus clientes se los piden. Algunas tienen ambos cuando venden a EE. UU.
¿Basta un informe SOC 2 para omitir el cuestionario?
A menudo lo acorta. Los clientes con un proceso maduro leen el informe, anotan las excepciones y envían un cuestionario breve sobre lo que el informe no cubre: su servicio específico, los flujos de datos y cualquier cambio desde el periodo del informe.