SOC 1
Controles que impactan en los estados financieros de tus clientes (SSAE 18 o ISAE 3402).
SOC 1 · SOC 2 · SOC 3
Informes SOC: demostrá que tus controles funcionan
Preparamos a tu organización para obtener un informe SOC 2 o ISAE 3402 sin salvedades, el que piden tus clientes en Estados Unidos y Europa.
¿Qué es un informe SOC?
Confianza verificada por un auditor independiente
Un informe SOC (System and Organization Controls) es la opinión de un auditor independiente sobre los controles de una organización que presta servicios a terceros.
Se emite bajo las normas del AICPA (SSAE 18) o sus equivalentes internacionales (ISAE 3402 e ISAE 3000), y solo puede firmarlo una firma auditora habilitada.
Es un requisito habitual para empresas SaaS, fintech, centros de datos y proveedores que venden a clientes corporativos, sobre todo en Estados Unidos.
Tipos de informe
Tres informes, tres audiencias
SOC 2
Seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. Uso restringido a clientes y auditores.
SOC 3
Resumen del SOC 2 de uso general, pensado para publicar en tu sitio web.
Fases
Cómo te preparamos
- 1Alcance: sistema, servicios y criterios de confianza aplicables.
- 2Evaluación de preparación y análisis de brechas contra los criterios.
- 3Diseño e implementación de controles, políticas y evidencia, reutilizando ISO 27001 si ya la tenés.
- 4Auditoría previa interna y ensayo con tu equipo.
- 5Acompañamiento durante el trabajo de la firma auditora hasta la emisión del informe.
- 6Seguimiento de los controles durante el período de observación del Tipo II.
Tipo I y Tipo II
Una foto o una película
Tipo I
Evalúa el diseño de los controles en una fecha determinada. Es un buen primer paso.
Tipo II
Evalúa la eficacia operativa de los controles durante un período, por lo general de 3 a 12 meses. Es el que más valoran los clientes.
Cloud Legion prepara y acompaña; el informe lo emite una firma auditora independiente. Trabajamos con la firma que elijas o te ayudamos a elegirla.
Por qué un informe SOC
Acelerá tus ventas corporativas
Menos cuestionarios
Respondés con un informe en lugar de cientos de preguntas de seguridad.
Ciclos de venta más cortos
Superás la evaluación de proveedores de los grandes clientes.
Reutilizás ISO 27001
Gran parte de los controles se comparten y evitás trabajo duplicado.
Mejora continua
El Tipo II exige sostener los controles todo el año.
A quién aplica
Organizaciones que prestan servicios a terceros
- Plataformas SaaS y servicios en la nube
- Fintech y procesadores de pago
- Centros de datos y hosting
- BPO y servicios tercerizados
- Software para clientes de Estados Unidos
- Servicios de nómina y recursos humanos
Preguntas frecuentes
Lo que más nos preguntan
¿Qué es un informe SOC 2?
Es un informe de atestación emitido por un auditor independiente sobre los controles de seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad de una organización de servicios.
¿Quién emite el informe?
Una firma auditora independiente habilitada (CPA bajo normas AICPA, o un auditor bajo normas ISAE). Cloud Legion prepara a la organización y la acompaña durante la auditoría.
¿SOC 2 o ISO 27001?
ISO 27001 certifica un sistema de gestión con reconocimiento global; SOC 2 es un informe muy pedido en Estados Unidos. Comparten la mayoría de los controles, por eso muchas empresas tienen ambos.
¿Cuánto tarda?
Depende del punto de partida. La preparación para un Tipo I suele llevar entre dos y cuatro meses; el Tipo II suma un período de observación de 3 a 12 meses.
¿Un cliente te pidió un SOC 2?
Te decimos cuánto te falta y cómo llegar al informe en el menor tiempo posible.