Cómo obtener un informe SOC 2

Por Paul Gillet · Actualizado 2026-10-17

Si un cliente le ha preguntado «¿cumple con SOC 2?», en realidad está pidiendo un informe SOC 2: una opinión independiente de una firma de CPA sobre sus controles, emitida conforme a las normas de atestación del AICPA. No existe un certificado SOC 2 ni una nota de aprobado. El informe describe su sistema, sus controles y las pruebas del auditor, y el equipo de seguridad del cliente lo lee para decidir si confía en usted para tratar sus datos.

Qué cubre el informe

SOC 2 evalúa sus controles frente a los Criterios de Servicios de Confianza del AICPA (2017, con los puntos de enfoque revisados en 2022). Hay cinco categorías:

• Seguridad (los criterios comunes, CC1–CC9): siempre incluida. Abarca gobernanza, evaluación de riesgos, monitorización, acceso lógico y físico, operaciones, gestión de cambios y riesgo de proveedores.
• Disponibilidad (A1): capacidad, copias de seguridad y recuperación. Añádala si los clientes dependen de su disponibilidad.
• Confidencialidad (C1): identificación y eliminación de la información confidencial. Habitual en productos B2B que almacenan datos de clientes.
• Integridad del procesamiento (PI1): procesamiento completo, exacto y oportuno. Relevante para servicios de pagos, nóminas y tratamiento de datos.
• Privacidad (P1–P8): aviso, consentimiento, conservación y comunicación de información personal. Pocos marcos de seguridad la cubren; el RGPD es el más cercano.

La mayoría de los primeros informes incluyen solo Seguridad, o Seguridad con Disponibilidad y Confidencialidad. Añada categorías cuando los clientes las soliciten, no por defecto: cada una añade controles que ejecutar y evidencias que recopilar.

¿Tipo I o Tipo II?

• Un informe Tipo I indica que sus controles estaban adecuadamente diseñados e implantados en una fecha determinada. Es más rápido y resulta útil como primer paso cuando una operación no puede esperar.
• Un informe Tipo II indica que sus controles se diseñaron y funcionaron de forma eficaz durante un periodo, normalmente de 3 a 12 meses. Es lo que más necesitan los equipos de riesgo de proveedores de la mayoría de los clientes, porque demuestra que los controles funcionan en la práctica.

Una vía habitual es obtener un Tipo I en cuanto esté preparado, después un primer Tipo II que cubra un periodo de 3 a 6 meses y, a partir de ahí, informes Tipo II anuales que cubran 12 meses.

Los pasos

1. Defina el sistema en alcance: el producto o servicio que contratan los clientes, junto con la infraestructura, las personas, los procesos y los datos que lo sustentan. Limítelo a lo que los clientes necesitan; un alcance acotado es más barato de mantener y más fácil de explicar.
2. Elija los criterios: Seguridad más las categorías que soliciten sus clientes.
3. Realice una evaluación de preparación frente a los criterios. Utilice el análisis de brechas si ya sigue otro marco y, después, confírmelo con la firma de CPA o con un asesor.
4. Cierre las brechas y documéntelo todo: políticas, evaluación de riesgos, revisiones de acceso, gestión de cambios, revisiones de proveedores, respuesta a incidentes, altas y bajas de personal, y copias de seguridad. Los auditores comparan lo que hace con lo que dice que hace, así que los documentos deben reflejar la realidad.
5. Elija una firma de CPA. Solo las firmas de CPA con licencia pueden emitir informes SOC 2. Compare su experiencia con empresas similares a la suya, la profundidad técnica de los auditores y la forma en que se recopilarán las evidencias.
6. Tipo I opcional: el auditor verifica el diseño y la implantación en un momento concreto.
7. Ejecute el periodo de observación para un Tipo II: opere todos los controles y conserve las evidencias a medida que avanza.
8. Trabajo de campo e informe: el auditor toma muestras de evidencias del periodo, comenta con usted las excepciones y emite el informe, normalmente unas semanas después de terminar el periodo.
9. Manténgalo en marcha: un informe SOC 2 cubre el pasado, así que los clientes esperan uno nuevo cada año, sin huecos entre periodos.

Plazo habitual

En una pequeña empresa de software con una higiene de seguridad razonable, la preparación y la remediación suelen llevar de uno a tres meses; un Tipo I puede obtenerse de inmediato después, y un primer Tipo II llega entre tres y seis meses más tarde. Los alcances más amplios, más categorías o procesos poco maduros alargan cada etapa. Trate cualquier promesa de un proveedor de «SOC 2 en semanas» como una promesa sobre el Tipo I.

Evidencias que piden los auditores

Las pruebas Tipo II consisten sobre todo en muestreo. Espere solicitudes como estas, extraídas del periodo de observación:

• altas y bajas de personal, con prueba de que el acceso se concedió con aprobación y se retiró a tiempo;
• revisiones periódicas de acceso de usuarios para los sistemas clave;
• tickets de cambio que muestren revisión, pruebas y aprobación antes de pasar a producción;
• resultados de análisis de vulnerabilidades y pruebas de penetración, con su remediación;
• la evaluación de riesgos y su revisión por la dirección;
• registros de diligencia debida de proveedores para los suministradores críticos;
• tickets de incidentes y evidencias de pruebas de respuesta a incidentes;
• pruebas de copia de seguridad y restauración, y alertas de monitorización con su seguimiento;
• registros de formación en concienciación sobre seguridad y políticas firmadas.

Puntos que suelen pasar desapercibidos

• Organizaciones subcontratadas: los controles de su proveedor de nube no son suyos. La mayoría de los informes utilizan el método de exclusión (carve-out): se identifica al proveedor, se confía en su propio informe SOC 2 y se demuestra que usted lo revisa.
• Controles complementarios de las entidades usuarias: el informe enumera controles que sus clientes deben operar por sí mismos, como la gestión de sus propios usuarios. Asegúrese de que sean realistas.
• Excepciones: un Tipo II puede contener excepciones (muestras fallidas) y seguir siendo útil. Explíquelas con claridad en su respuesta de la dirección en lugar de ocultarlas.
• Expansión del alcance: cada sistema incluido en el alcance debe cumplir todos los controles, todos los días del periodo.

Cómo le ayuda este sitio

ControlMapping relaciona cada criterio de SOC 2 con los demás marcos que cubre, para que pueda ver qué trabajo existente se traslada. El texto de los criterios está protegido por los derechos de autor del AICPA, por lo que mostramos nuestros propios resúmenes de una línea; y cada enlace a SOC 2 es un juicio editorial de ControlMapping, con su motivo: las correspondencias propias del AICPA no tienen licencia abierta. Utilícelo para planificar, no como evidencia de auditoría.

¿Ya tiene otro marco?

Cuántos requisitos de SOC 2 corresponden a cada marco que quizá ya cumple. Abra un informe de brechas para ver la lista requisito por requisito.

Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · Relación tangencial solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Los recuentos proceden de los mismos datos que análisis de brechas; una correspondencia significa requisitos relacionados, no prueba de que uno satisfaga al otro.

Preguntas

¿SOC 2 es una certificación?

No. Un informe SOC 2 es una atestación: una opinión de una firma de CPA sobre sus controles. Nadie está «certificado en SOC 2», aunque la expresión sea habitual.

¿Necesito SOC 2 Tipo I o Tipo II?

La mayoría de los clientes piden el Tipo II, porque prueba si los controles funcionaron durante un periodo. El Tipo I es un primer paso razonable cuando un cliente lo acepta mientras transcurre el periodo del Tipo II.

¿SOC 2 es obligatorio por ley?

No. Es una expectativa del mercado, sobre todo de los procesos de riesgo de proveedores de los clientes estadounidenses. Los contratos pueden hacerlo obligatorio para usted.

No es asesoramiento legal ni de cumplimiento. Consulte el texto oficial y a su auditor, evaluador o regulador antes de basarse en él.