Preparación y acompañamiento para SOC 2
SOC 2 es una atestación que emite una firma CPA independiente y que ninguna consultora puede entregarte. Lo que hacemos nosotros es prepararte para ella: una evaluación de brechas frente a los AICPA Trust Services Criteria, los controles y las evidencias para cerrar esas brechas, y la prueba de penetración en la que se apoya tu informe. La auditoría en sí la realiza un CPA con licencia.
Qué cubre la preparación
SOC 2 informa sobre los controles de una organización de servicios frente a los AICPA Trust Services Criteria (TSC): Security (los Common Criteria obligatorios), más Availability, Processing Integrity, Confidentiality y Privacy según elijas. Te ayudamos a delimitar los criterios adecuados y luego a cerrar la brecha entre el hoy y un conjunto de controles auditable.
- Delimitación de la descripción del sistema y de qué Trust Services Criteria aplican
- Evaluación de brechas de los controles frente a los Security Common Criteria (CC1-CC9)
- Categorías opcionales: Availability, Processing Integrity, Confidentiality, Privacy
- Políticas, procedimientos y las narrativas de evidencias/controles que espera un auditor
- Pruebas de penetración como evidencia técnica para los Common Criteria
- Type I (diseño en un momento dado) frente a Type II (eficacia operativa a lo largo de un periodo)
Primero la preparación, después la auditoría
Te preparamos, pero no somos tu auditor. Los dos papeles están separados a propósito, porque la firma CPA debe ser independiente. Nosotros hacemos la evaluación de brechas y la remediación, tú llegas preparado al examen, y el CPA lo realiza y emite el informe SOC 2. Podemos recomendar firmas de auditoría, pero nunca emitimos la atestación nosotros.
- 1
Definición del alcance
Acordamos los límites del sistema, los Trust Services Criteria en el alcance y Type I frente a Type II, y firmamos un NDA.
- 2
Evaluación de brechas
Medimos tus controles actuales frente a los Common Criteria y cualquier categoría elegida, y priorizamos las brechas.
- 3
Remediación
Te ayudamos a crear los controles, políticas y evidencias que faltan, y hacemos el pentest del que depende el informe.
- 4
Acompañamiento en la auditoría
Te preparamos para la examinación y te acompañamos durante el trabajo de campo de la firma CPA independiente.
- 5
Periodo de observación de Type II
Para Type II, los controles deben operar a lo largo de un periodo (habitualmente de 3 a 12 meses); te ayudamos a mantenerlos y a evidenciarlos.
Qué recibes
Un entregable de preparación claro y el paquete de evidencias técnicas: todo lo que necesitas para llegar preparado al examen. El informe SOC 2 lo emite la firma CPA, no nosotros.
- Informe de evaluación de brechas mapeado a los Trust Services Criteria
- Plan de remediación priorizado con responsables y estimaciones de esfuerzo
- Narrativas de control, plantillas de políticas y una lista de comprobación de evidencias
- Informe de pruebas de penetración (CVSS 3.1, prueba de concepto, reproducción) como evidencia para los Common Criteria
- Visto bueno de preparación que indica que estás listo para la examinación
- Reevaluación gratuita de los hallazgos técnicos remediados antes de la ventana de auditoría, según el calendario fijado en el SoW
Fundamentado en los AICPA Trust Services Criteria
La preparación sigue los AICPA Trust Services Criteria: Security (los Common Criteria obligatorios) más Availability, Processing Integrity, Confidentiality y Privacy, según lo que elijas. Un examen SOC 2 debe realizarlo una firma CPA independiente con licencia. Nosotros ofrecemos la preparación, la evaluación de brechas, la remediación y las pruebas de penetración de soporte, pero no somos una firma CPA y no emitimos el informe SOC 2 ni la atestación. Type II requiere además que los controles funcionen durante un periodo de observación.