AICPA · Trust Services Criteria 2017 (revisión 2022)
Tus clientes de EE. UU. te piden un informe SOC 2 y no sabes por dónde empezar. Audexa recorre contigo los 61 criterios, te dice qué revisará el auditor CPA y qué evidencia necesitas durante el periodo, y convierte cada hueco en una tarea con responsable.
Qué es SOC 2
Un informe SOC 2 describe tu sistema y da la opinión de un auditor independiente sobre tus controles, medidos frente a los criterios de servicios de confianza del AICPA. Lo piden sobre todo clientes de EE. UU. antes de firmar con un proveedor SaaS o de servicios.
Los criterios comunes CC1 a CC9 forman parte de todo informe. Disponibilidad, Confidencialidad, Integridad del procesamiento y Privacidad se añaden cuando tienes compromisos con tus clientes en ese ámbito.
El auditor comprueba que los controles están diseñados y en marcha en una fecha concreta. Es el primer paso habitual para quien nunca ha tenido un informe.
El auditor toma muestras a lo largo de un periodo pactado y pide pruebas de que cada control funcionó. Una aceptación sin firmar o una revisión de accesos que no se hizo se convierte en excepción.
La dirección describe el servicio, sus límites, la infraestructura, las personas y los datos. Esa descripción forma parte del informe y tiene que cuadrar con lo que el auditor ve.
Algunas responsabilidades quedan del lado de tus clientes, como gestionar sus propios usuarios o activar MFA. El informe las enumera y conviene tenerlas claras y publicadas.
Si dependes de AWS, Azure, GCP u otros proveedores, decides si quedan fuera del alcance (carve-out) o dentro (inclusive) y reúnes sus propios informes SOC 2.
Fuentes: AICPA & CIMA, emisor de los Trust Services Criteria
Cómo te ayuda Audexa
Un cuestionario guiado criterio a criterio, con lo que espera el auditor, conectado con tareas, políticas y evidencias.
Sabe qué criterios tienes cubiertos y cuáles no.
Antes de empezar eliges las categorías; Seguridad va siempre. El cuestionario solo muestra los criterios que entran en tu informe.
Cada criterio explica qué pedirá el auditor y qué cambia entre Tipo I y Tipo II.
Respondes control a control e indicas la aplicabilidad con su motivo.
Convierte cada hallazgo en trabajo con dueño.
Pasos concretos, evidencias esperadas, responsable sugerido, criterio de cierre y cuándo revisarlo.
Las brechas pasan a tareas con subtareas, responsable y fechas.
67 plantillas de política para no empezar de cero. 5 están vinculadas a SOC 2: «Política de Seguridad de la Información», «Política de Control de Acceso», «Política de Respuesta a Incidentes», «Política de Gestión de Cambios» y «Procedimiento de Catálogo de Servicios, Niveles de Servicio y Capacidad».
Ten a mano lo que pedirá el auditor.
Guarda las pruebas de funcionamiento del periodo junto al criterio al que responden.
Puntuación, hallazgos y plan de acción para compartir con dirección o con tu auditor.
Repite la evaluación cuando cierres brechas y compara el avance antes de la ventana del informe.
La disponibilidad de algunas funciones depende del plan contratado y de los módulos activos.
Perfil previo
Seguridad (CC1 a CC9) está siempre incluida. Añade Disponibilidad si ofreces un SLA, Confidencialidad si firmas cláusulas de confidencialidad, Integridad del procesamiento si calculas o transmites transacciones críticas y Privacidad si tratas datos personales. Antes de empezar ves cuántas preguntas tendrá tu cuestionario.
Tipo I y Tipo II
En Tipo I basta con demostrar que el control está diseñado y funcionando en una fecha. En Tipo II el auditor saca muestras del periodo: altas y bajas, revisiones de acceso, cambios desplegados, incidentes. Cada criterio de Audexa te dice qué muestra cabe esperar y qué rastro tienes que ir guardando.
Si ya tienes ISO 27001
Al crear la auditoría SOC 2, Audexa estima cuánto te cubren tus otras auditorías. Las respuestas con correspondencia de cobertura alta llegan propuestas con la marca «Revísalo» y una persona las confirma. No son equivalencias automáticas: el auditor CPA probará tus controles igualmente.
Cómo funciona
Elige las categorías del informe, mira cuánto te cubre lo que ya tienes y marca la aplicabilidad de cada criterio.
Responde criterio a criterio sabiendo qué evidencia pedirá el CPA en Tipo I y en Tipo II.
Asigna tareas, aprueba políticas, guarda las pruebas del periodo y repite la evaluación antes de la auditoría.
Planes
Los planes Free y Core no incluyen SOC 2. El precio depende del tamaño de tu equipo: te damos una propuesta cerrada en la demo.
Para preparar SOC 2 con un equipo pequeño.
Para varios frameworks y equipos sin límites.
Antes y después
Alcance
Dudas sobre qué categorías incluir
Perfil previo con Seguridad siempre incluida
Qué pedirá el auditor
Se descubre en la primera reunión
Guía Tipo I y Tipo II en cada criterio
Brechas
Listas sin responsable ni fecha
Tareas con subtareas, dueño y criterio de cierre
Evidencias del periodo
Capturas dispersas en carpetas
Caja de evidencias vinculada a cada criterio
ISO 27001
Rehacer el trabajo desde cero
135 correspondencias revisables
Preguntas frecuentes
No. El informe SOC 2 solo lo puede emitir un auditor CPA independiente. Audexa te ayuda a prepararte: autoevaluación guiada, plan de acción y evidencias ordenadas para cuando empiece la auditoría.
Tipo I evalúa el diseño de tus controles en una fecha concreta. Tipo II evalúa además que funcionaron durante un periodo, con muestras de ese periodo. Audexa explica en cada criterio qué evidencia hace falta en cada caso.
Seguridad va siempre. Las demás (Disponibilidad, Confidencialidad, Integridad del procesamiento y Privacidad) se añaden si tienes compromisos con tus clientes en ese ámbito. En Audexa las eliges antes del cuestionario y solo ves los criterios que aplican.
Sirve como punto de partida. Audexa tiene 135 correspondencias entre SOC 2 e ISO 27001 y te muestra cuánto te cubre antes de empezar. Las respuestas llegan propuestas para que una persona las revise, y el auditor CPA probará los controles igualmente.
Los CUEC son controles que tus clientes deben aplicar por su lado, como gestionar sus usuarios. Las organizaciones subcontratadas son proveedores de los que dependes, como tu nube. Audexa te guía para documentar ambos y elegir entre carve-out e inclusive.
SOC 2 está disponible en los planes Premium y Diamond. Free y Core no lo incluyen. En la demo vemos qué plan encaja con tu equipo.
Solicitar demo
En una demo de 30 minutos recorremos el perfil de categorías, la guía del auditor por criterio y el plan de acción.
