Marco
SOC 2 (Trust Services Criteria)
Qué es
Marco del AICPA para la elaboración de informes sobre los controles de una organización de servicios frente a los Criterios de Servicios de Confianza: Seguridad (siempre incluida) y, de forma opcional, Disponibilidad, Confidencialidad, Integridad del procesamiento y Privacidad.
Quién lo necesita
Organizaciones de servicios, especialmente empresas de software y de nube, cuyos clientes necesitan garantías antes de confiarles sus datos. Es una expectativa del mercado, sobre todo de clientes de EE. UU., y no un requisito legal.
Cómo se evalúa
Una firma CPA autorizada examina los controles y emite un informe: el Tipo I abarca el diseño en una fecha determinada, y el Tipo II, la eficacia operativa durante un período que suele ser de entre 3 y 12 meses. No se emite ningún certificado. Consulte cómo obtener un informe SOC 2.
Leer la guía: Cómo obtener un informe SOC 2 →
61
Criterios
41
Con correspondencia con otro marco
92%
Temas cubiertos (46/50)
Las correspondencias de SOC 2 de AICPA no tienen licencia abierta, por lo que cada enlace a SOC 2 aquí es una selección editorial de ControlMapping: los criterios que no hemos correlacionado no pueden coincidir. Los criterios de integridad del procesamiento (PI) y la mayoría de los criterios de privacidad (P) no tienen equivalente en los marcos de seguridad.
Comparativas
Requisitos
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
| ID | Requisito | Temas | Con correspondencia en |
|---|---|---|---|
| A1 Availability · 3 | |||
| A1.1 | Capacity management to meet availability commitments | Continuidad del negocio | 8 de 13 |
| A1.2 | Environmental protections, backups and recovery infrastructure | Copias de seguridad y recuperación, Continuidad del negocio, Recuperación ante desastres | 11 de 13 |
| A1.3 | Testing recovery plan procedures | Planificación de la recuperación, Recuperación ante desastres | 10 de 13 |
| C1 Confidentiality · 2 | |||
| C1.1 | Identifying and protecting confidential information | Clasificación de datos | 9 de 13 |
| C1.2 | Disposing of confidential information | Protección de datos | 11 de 13 |
| CC1 Control environment · 5 | |||
| CC1.1 | Commitment to integrity and ethical values | Política de gobernanza | 9 de 13 |
| CC1.2 | Board independence and oversight of internal control | Funciones y responsabilidades | 9 de 13 |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Funciones y responsabilidades | 9 de 13 |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Concienciación y formación | 10 de 13 |
| CC1.5 | Accountability for internal control responsibilities | Funciones y responsabilidades | 9 de 13 |
| CC2 Communication and information · 3 | |||
| CC2.1 | Quality information to support internal control | — | 1 de 13 |
| CC2.2 | Internal communication of objectives and responsibilities | Concienciación y formación | 10 de 13 |
| CC2.3 | Communication with external parties | Comunicación, Notificación, Comunicaciones y restauración | 12 de 13 |
| CC3 Risk assessment · 4 | |||
| CC3.1 | Objectives specified clearly enough to identify risks | Gestión de riesgos, Entorno empresarial | 10 de 13 |
| CC3.2 | Risk identification and analysis | Evaluación de riesgos | 10 de 13 |
| CC3.3 | Considering the potential for fraud | Evaluación de riesgos | 10 de 13 |
| CC3.4 | Identifying and assessing significant changes | Evaluación de riesgos | 10 de 13 |
| CC4 Monitoring activities · 2 | |||
| CC4.1 | Ongoing and/or separate evaluations of controls | Cumplimiento | 10 de 13 |
| CC4.2 | Communicating and remediating control deficiencies | Cumplimiento | 10 de 13 |
| CC5 Control activities · 3 | |||
| CC5.1 | Control activities that mitigate risks | Gestión de riesgos | 10 de 13 |
| CC5.2 | General controls over technology | Configuración segura | 9 de 13 |
| CC5.3 | Control activities deployed through policies and procedures | Política de gobernanza | 9 de 13 |
| CC6 Logical and physical access · 8 | |||
| CC6.1 | Logical access security over information assets | Gestión de activos, Control de acceso, Autenticación multifactor, Cifrado | 13 de 13 |
| CC6.2 | User registration, authorization and removal | Control de acceso | 11 de 13 |
| CC6.3 | Role-based access, least privilege and segregation of duties | Control de acceso, Acceso privilegiado | 12 de 13 |
| CC6.4 | Physical access restrictions | Seguridad física | 8 de 13 |
| CC6.5 | Protection of data when assets are disposed of | Protección de datos | 11 de 13 |
| CC6.6 | Protection against threats from outside system boundaries | Cortafuegos / Segmentación de red, Seguridad web, Confianza cero, WAF | 9 de 13 |
| CC6.7 | Restricting transmission, movement and removal of information | Cifrado, Seguridad móvil, DLP | 11 de 13 |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Protección de endpoints, Seguridad del correo electrónico | 10 de 13 |
| CC7 System operations · 5 | |||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Gestión de vulnerabilidades, Gestión de parches, Configuración segura | 13 de 13 |
| CC7.2 | Monitoring system components for anomalies | Monitoreo cont., Registro y auditoría, Detección de intrusiones, Detección de anomalías | 11 de 13 |
| CC7.3 | Evaluating security events to determine if they are incidents | SIEM / SOC, Respuesta a incidentes | 12 de 13 |
| CC7.4 | Responding to identified security incidents | Respuesta a incidentes, Análisis forense, Mitigación | 12 de 13 |
| CC7.5 | Recovering from identified security incidents | Planificación de la recuperación, Lecciones aprendidas, Comunicaciones y restauración | 11 de 13 |
| CC8 Change management · 1 | |||
| CC8.1 | Change management for infrastructure, data and software | Desarrollo seguro | 8 de 13 |
| CC9 Risk mitigation · 2 | |||
| CC9.1 | Mitigating risks from business disruptions | Gestión de riesgos, Continuidad del negocio | 10 de 13 |
| CC9.2 | Managing vendor and business partner risk | Riesgo de la cadena de suministro, Seguridad en la nube, Gestión de riesgos de proveedores | 12 de 13 |
| P Privacy · 18 | |||
| P1.1 | Privacy notice | — | ninguno |
| P2.1 | Choice and consent | — | ninguno |
| P3.1 | Collection limited to privacy objectives | — | ninguno |
| P3.2 | Explicit consent where required | — | ninguno |
| P4.1 | Use limited to privacy objectives | — | ninguno |
| P4.2 | Retention of personal information | — | 1 de 13 |
| P4.3 | Disposal of personal information | — | 1 de 13 |
| P5.1 | Data subject access | — | ninguno |
| P5.2 | Correction of personal information | — | ninguno |
| P6.1 | Disclosure to third parties with consent | — | ninguno |
| P6.2 | Record of authorized disclosures | — | ninguno |
| P6.3 | Record of unauthorized disclosures | — | ninguno |
| P6.4 | Privacy commitments from third parties | — | ninguno |
| P6.5 | Notification by third parties of unauthorized disclosures | — | ninguno |
| P6.6 | Breach notification to affected individuals | — | 1 de 13 |
| P6.7 | Accounting of disclosures to data subjects | — | ninguno |
| P7.1 | Quality of personal information | — | ninguno |
| P8.1 | Handling privacy inquiries, complaints and disputes | — | ninguno |
| PI1 Processing integrity · 5 | |||
| PI1.1 | Information about processing objectives | — | ninguno |
| PI1.2 | Controls over system inputs | — | ninguno |
| PI1.3 | Controls over system processing | — | ninguno |
| PI1.4 | Controls over system outputs | — | ninguno |
| PI1.5 | Storing inputs, items in processing and outputs | — | ninguno |
Cobertura del tema
Temas con requisitos de SOC 2 asignados (46):
Política de gobernanzaConcienciación y formaciónGestión de riesgosRiesgo de la cadena de suministroFunciones y responsabilidadesCumplimientoGestión de activosEvaluación de riesgosEntorno empresarialClasificación de datosGestión de vulnerabilidadesControl de accesoAutenticación multifactorCifradoProtección de datosCopias de seguridad y recuperaciónAcceso privilegiadoCortafuegos / Segmentación de redProtección de endpointsGestión de parchesConfiguración seguraDesarrollo seguroSeguridad del correo electrónicoSeguridad webConfianza ceroSeguridad móvilSeguridad en la nubeWAFDLPMonitoreo cont.Registro y auditoríaDetección de intrusionesDetección de anomalíasSIEM / SOCRespuesta a incidentesAnálisis forenseComunicaciónMitigaciónNotificaciónPlanificación de la recuperaciónContinuidad del negocioLecciones aprendidasComunicaciones y restauraciónRecuperación ante desastresGestión de riesgos de proveedoresSeguridad física
Sin correspondencia en nuestros datos Ningún requisito de SOC 2 (4):