Por qué «¿tiene certificación SOC 2?» es la pregunta equivocada

Casi todos los cuestionarios de seguridad la incluyen: «¿Tiene certificación SOC 2?». Los proveedores responden «sí», adjuntan un PDF y la casilla queda marcada. El problema es que la pregunta no significa lo que cualquiera de las partes cree, y una casilla marcada puede ocultar justamente los riesgos que el comprador intentaba detectar.

No existe un certificado SOC 2

SOC 2 es una atestación, no una certificación. Una firma de CPA autorizada examina los controles de una organización de servicios frente a los Criterios de Servicios de Confianza de la AICPA y emite un informe con su opinión. Nadie emite un certificado, nadie mantiene un registro de empresas certificadas y no hay una puntuación de aprobado. Compárese con ISO 27001, donde un organismo de certificación acreditado sí emite un certificado, con un alcance definido y válido durante tres años. (Nuestra comparativa ISO 27001 frente a SOC 2 expone las diferencias.)

Llamar certificado a un informe SOC 2 no es un mero purismo. Convierte un documento detallado y condicionado en una insignia de sí o no, y los detalles son justamente donde está el riesgo.

Lo que puede esconder un «sí»

Un proveedor puede afirmar con razón que tiene un informe SOC 2 mientras:

• El informe es de Tipo I. Muestra que los controles estaban diseñados e implantados en un día concreto, no que funcionaran a lo largo del tiempo.
• El alcance excluye el servicio que usted contrata. Un informe cubre un sistema descrito. Si sus datos circulan por un producto o región que queda fuera, el informe no dice nada al respecto.
• El periodo terminó hace mucho. Un informe cubre un periodo pasado. Si han transcurrido muchos meses desde su fin, nadie ha comprobado el funcionamiento reciente.
• La opinión tiene salvedades, o los resultados de las pruebas recogen excepciones que le afectan.
• Hay controles clave excluidos en favor de una organización subcontratada, como el proveedor de nube, cuyo propio informe usted nunca ve.
• El informe depende de controles que usted debe operar, listados como controles complementarios de las entidades usuarias, y nadie de su lado sabe de ellos.
• Solo Seguridad está en el alcance, cuando lo que le importaba era la disponibilidad, la confidencialidad o la privacidad.

Ninguno de estos puntos hace que un informe carezca de valor. Todos ellos quedan invisibles tras el «sí».

Lo que vale un buen informe SOC 2

Nada de esto es un argumento contra SOC 2. Un informe de Tipo II de una firma competente es uno de los documentos más útiles que puede obtener un comprador. Evaluadores independientes han muestreado evidencias reales a lo largo de meses: accesos concedidos y retirados, cambios aprobados, incidentes gestionados, copias de seguridad restauradas. Un cuestionario respondido por el personal del propio proveedor no puede igualar eso, y un equipo de seguridad que lee bien los informes puede reducir la mayor parte de su cuestionario.

El valor está en el detalle: qué controles se probaron, cómo y con qué resultado. La abreviatura descarta ese detalle. Preguntar si un proveedor está «certificado» invita a un sí; preguntar qué cubre el informe invita a la evidencia.

Mejores preguntas que plantear

Sustituya «¿tiene certificación SOC 2?» por preguntas que hagan útil la respuesta:

1. ¿Qué informe tiene: Tipo I o Tipo II, y qué periodo cubre?
2. ¿La descripción del sistema incluye el servicio y las regiones que vamos a usar?
3. ¿Qué categorías de los Criterios de Servicios de Confianza están en el alcance?
4. ¿Hubo excepciones o una opinión con salvedades, y cómo se resolvieron?
5. ¿Qué organizaciones subcontratadas están excluidas y qué controles complementarios de las entidades usuarias necesitamos operar?

Después lea el informe, al menos la opinión, la descripción del sistema, las excepciones y los controles de la entidad usuaria. Eso requiere mucho menos tiempo que el cuestionario.

Lo mismo vale para cualquier marco

El patrón no es exclusivo de SOC 2. «Certificado ISO 27001» depende del alcance del certificado; «conforme con NIS2» depende de la legislación nacional y de procedimientos de notificación que ningún certificado comprueba; «alineado con NIST CSF» puede significar casi cualquier cosa, porque CSF no tiene certificación alguna. El nombre de un marco es el inicio de la conversación, no su final.

Si está en el lado del proveedor, facilite las cosas: indique desde el principio qué informe, qué periodo y qué alcance tiene, y muestre cómo sus controles se corresponden con los marcos que usan sus clientes. Nuestro análisis de brechas y la página del marco SOC 2 pueden ayudar con la correspondencia, y la guía SOC 2 explica cómo se elaboran los informes.

Preguntas

¿Existe realmente una certificación SOC 2?

No. Un informe SOC 2 es una atestación: la opinión de una firma de CPA autorizada sobre los controles de una organización de servicios frente a los Criterios de Servicios de Confianza de la AICPA. No se emite ningún certificado.

¿Qué debo leer primero en un informe SOC 2?

La opinión del auditor (¿es sin salvedades?), el alcance y la descripción del sistema, el periodo cubierto, las excepciones en los resultados de las pruebas y los controles complementarios de las entidades usuarias que se espera que usted opere.