Llegar listos a SOC 2 cuando un comprador de EE. UU. pide el informe

La AICPA describe SOC como un conjunto de servicios que prestan los CPA sobre los controles de una organización de servicios. El informe SOC 2 trata los controles relevantes para cinco categorías: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad.

Quién lee el informe en casa del comprador

Los equipos de seguridad, jurídico y compras. El uso del informe SOC 2 suele estar restringido, así que se entrega con acuerdo de confidencialidad; el SOC 3 de la AICPA es la versión de uso general, con menos detalle.

Mientras no tenga informe, un plan de preparación con fecha de auditoría mantiene viva la operación.

Si el comprador acepta un informe sobre el diseño, el tipo 1 resuelve antes la cuestión. Si pide el tipo 2 desde el principio, importa la fecha de inicio del periodo de observación: desde ese día cada control deja rastro en registros, tickets y actas. Antes de que empiece, ajustamos los procesos para que las evidencias se generen solas.

Primero fijamos los límites del sistema: producto, entornos, nubes, proveedores, datos y categorías incluidas. Después revisamos las áreas con más brechas en equipos jóvenes:

• Accesos. MFA, alta y baja de permisos, revisiones de accesos.
• Gestión de cambios. Cómo llega el código a producción y quién lo aprueba.
• Registros. Qué se registra, quién vigila las alertas, cuánto se conservan.
• Proveedores. Nubes y herramientas SaaS que tratan datos de clientes.
• Incidentes y continuidad. Procedimiento de respuesta, copias, restauraciones probadas.
• Personas. Incorporación, salida, formación.

Descripción del sistema y afirmación de la dirección

El informe ilustrativo de la AICPA contiene la afirmación de la dirección, la descripción del sistema, el informe del auditor y las pruebas de controles con sus resultados. Las dos primeras las redacta la empresa, y nosotros preparamos los borradores a partir de sus procesos reales conforme a los criterios de descripción DC 200.

Muchos controles coinciden: accesos, registros, proveedores, respuesta a incidentes, así que una base de políticas y evidencias sirve para ambos caminos. Si vende en EE. UU. y en Europa, conviene planificarla para los dos marcos desde el primer día; más sobre el segundo en nuestra página de ISO 27001.

Cómo llevamos a una startup hasta la auditoría

1. Una consulta de pago de 30 minutos y una carta de alcance: sistemas, fechas, precio cerrado.
2. Evaluación previa con un informe de brechas en lenguaje claro y un anexo técnico.
3. Remediación por nuestra parte o con sus desarrolladores; una persona verifica cada hallazgo.
4. Documentos: políticas, descripción del sistema, borrador de la afirmación de la dirección.
5. Nueva revisión y entrega del material a la firma de CPA que usted elija.

Si aún necesita la sociedad estadounidense que firme el contrato, la gestiona nuestro equipo de constitución de empresas en EE. UU..