Madurez SOC 2 · Seguridad de los datos y de los servicios informáticos

SOC 2 es un marco de atestación definido por la AICPA para las organizaciones que tratan datos por cuenta de sus clientes. Se basa en los Trust Services Criteria: la seguridad, obligatoria, seguida de la disponibilidad, la integridad del procesamiento, la confidencialidad y la protección de datos personales, seleccionadas en función de los compromisos asumidos. Los criterios comunes cubren el entorno de control, la comunicación, la gestión de riesgos, las actividades de control, la gestión de accesos lógicos y físicos, las operaciones, la gestión del cambio y la mitigación de riesgos. Un informe de tipo I describe el diseño de los controles en una fecha determinada, un informe de tipo II su funcionamiento efectivo durante un periodo de observación.

En la práctica, la dificultad no está en describir los controles sino en demostrar que han funcionado sin interrupción durante todo el periodo. ¿Se han realizado realmente las revisiones trimestrales de accesos, con un registro utilizable, o se han reconstruido antes de la auditoría? ¿Los cambios desplegados de urgencia siguen el mismo circuito de aprobación que los demás? ¿Los proveedores críticos son objeto de una revisión documentada, o de un contrato firmado una única vez? Son estas respuestas las que determinan el contenido del informe, no la calidad de la política escrita.

Una confusión frecuente: SOC 2 no es una certificación y no se compara término a término con ISO 27001. SOC 2 produce un informe de atestación redactado por una firma independiente, sobre los controles que la propia organización ha definido para cumplir sus compromisos de servicio. El margen sobre el alcance y sobre la formulación de los controles es por tanto amplio, lo que traslada el reto hacia la coherencia interna del dispositivo. Las organizaciones ya comprometidas con ISO 27001 reutilizan una gran parte de su base, siempre que reconstruyan la lógica de evidencia a lo largo del tiempo.

El diagnóstico de madurez responde a una pregunta distinta a la de la auditoría. La auditoría concluye con una excepción o con la ausencia de excepción sobre un control determinado. El diagnóstico sitúa cada práctica en una escala progresiva e indica la acción que hace pasar al siguiente nivel: lo que sigue siendo declarativo, lo que se aplica pero no se registra, lo que es sistemático y medido. Esto es lo que permite decidir el esfuerzo antes del periodo de observación en lugar de descubrirlo durante él.

En Datamensio, el marco de referencia está listo para usar y es adaptable. La IA ajusta los ámbitos, las preguntas y los niveles según el alcance de los criterios seleccionados, o construye una versión propia a partir de sus políticas y descripciones de controles.