¿Qué se evalúa en un SOC 2 Tipo II?
En una auditoría de cumplimiento de SOC 2 Tipo II, las políticas y los controles diseñados para cumplir los criterios de servicio anteriores se evalúan para determinar su efectividad, normalmente durante un periodo de seis meses. ¿Los controles son adecuados para los criterios? ¿Su organización es constante para llevarlos a cabo?
¿Qué es una Certificación SOC 2 Tipo II?
La Certificación SOC 2 Tipo II es una prueba de un auditor externo de que las políticas de una organización han superado la auditoría para garantizar el cumplimiento de SOC 2 Tipo II.
¿Cuáles son los beneficios del cumplimiento de SOC 2 Tipo II?
Las ventajas de SOC 2 Tipo II son la mejora de la salud general de la seguridad y las protecciones de los datos dentro de una organización y en todos sus proveedores. Para los proveedores de servicios, la certificación SOC 2 Tipo II puede ayudar a mejorar las probabilidades de ganar una asociación o cliente frente a la competencia. Para los clientes, es una prueba demostrable de que sus datos estarán en buenas manos con los controles y las salvaguardas adecuados.
¿Quién tiene que cumplir el estándar SOC 2 Tipo II?
Cualquier proveedor que gestione los datos de los clientes o la información confidencial que busque cumplir las obligaciones contractuales con un cliente en relación con el cumplimiento de la norma SOC 2 Tipo II puede beneficiarse de la certificación.
SOC 2 frente a otras certificaciones de cumplimiento
Diferencias entre SOC 1 y SOC 2
¿Cuál es la diferencia entre SOC 1 y SOC 2? El SOC 1 no se centra en los criterios de seguridad, sino en los criterios de presentación de informes financieros. El SOC 1 también se ha diseñado para organizaciones de servicios, pero específicamente para aquellas a las que se han subcontratado ciertas funciones financieras. Tenga en cuenta que las auditorías SOC 1 suelen alinearse con los años fiscales e incluyen cinco criterios de servicio, incluidos el entorno de control, la evaluación de riesgos, las actividades de control, la comunicación y la información y la supervisión.
Diferencias entre SOC 2 e ISO-27001
Tanto SOC 2 Tipo II como ISO-27001 son marcos que se centran en la gestión de InfoSec. El SOC 2 Tipo II evalúa la efectividad global de los controles de seguridad, pero la ISO-27001 es un enfoque muy prescriptivo y sistemático de los sistemas de gestión de la seguridad de la información. La ISO-27001 se centra principalmente en los sistemas y controles internos y es una norma, mientras que SOC 2 Tipo II es un marco para realizar una auditoría.
SOC 2 Tipo II frente a PCI DSS, HIPAA, RGPD
Hay una serie de marcos de cumplimiento: ¿en qué se diferencian y qué organizaciones los necesitan?
SOC 2 Tipo II y Estándar de Seguridad de Datos del Sector de las Tarjetas de Pago (PCI DSS) son dos marcos de cumplimiento muy diferentes con poca o ninguna superposición. PCI DSS está específicamente relacionado con los controles sobre cómo se manejan la información y las transacciones de la tarjeta de crédito. PCI DSS también es aplicable a los proveedores de servicios financieros, mientras que SOC 2 Tipo II cubre una gama más amplia de sectores. Por último, PCI DSS se realiza anualmente y no por una empresa de CPA.
SOC 2 Tipo II y la Ley de Portabilidad y Responsabilidad de los Seguros Médicos (HIPAA) también son diferentes en el ámbito de interés de los datos que se protegen. La HIPAA solo se aplica a las organizaciones sanitarias y a los proveedores de servicios que manejan los datos de los pacientes (y es exigida por la ley), mientras que el SOC 2 Tipo II puede incluir a las organizaciones sanitarias, pero no es obligatorio para ellas. Además, mientras que SOC 2 Tipo II no es tan prescriptivo en cuanto a cómo se cumplen los criterios de servicio, HIPAA sí lo es, con unos estándares muy específicos que deben cumplirse para cumplirlos.
SOC 2 Tipo II y el Reglamento General de Protección de Datos (RGPD) son marcos que abordan la seguridad y la privacidad de los datos. El marco del RGPD solo es aplicable a las organizaciones que manejan datos personales de residentes de la Unión Europea y se centra en la privacidad de los datos y los derechos de protección. Esto requiere controles en torno a la transparencia de cómo se utilizan los datos, el “derecho al olvido” y la minimización de los datos y el consentimiento. Si bien el SOC 2 Tipo II no es obligatorio, el RGPD sí lo es y el incumplimiento puede conllevar consecuencias legales y multas.
Prepararse para la evaluación SOC 2 Tipo II
Prepararse para una auditoría SOC 2 Tipo II es un esfuerzo de equipo y puede requerir bastantes horas de personal para despegar. Decidir implementar el cumplimiento de la SOC 2 Tipo II también puede requerir una cantidad justa de aceptación y apoyo interno para poner las cosas en marcha e incorporarlo en los procesos a largo plazo.
Pasos para ayudar a prepararse para la evaluación SOC 2 Tipo II
- Conozca el "por qué" que hay detrás de su solicitud de cumplimiento de SOC 2. Tanto si se trata de una solicitud de un cliente como de otro motivo, esto le ayudará a entender sus plazos para la certificación de cumplimiento, el alcance del trabajo implicado y mucho más. Esto también le ayudará a identificar las políticas existentes que tiene y que pueden ayudar y también le proporcionará al auditor el contexto y el alcance.
- Reúna al equipo adecuado de personas de su organización para incorporarlas al SOC 2 Tipo II. En función de su plazo para poner en marcha el SOC 2 Tipo II, es posible que necesite que más personas participen en ciertas tareas, recopilación de pruebas y desarrollo. Este grupo puede incluir:
- Liderazgo, como el director general, el director tecnológico, el director de informática y otros ejecutivos de alto nivel.
- DevOps
- Recursos humanos, ya que los empleados pueden entrar en el ámbito de las auditorías
- InfoSec
- InfoSecPrepárese para proporcionar el alcance. Esté preparado para responder a preguntas específicas de los datos, como dónde está alojado su servicio (nube pública, local), previsión de la capacidad, ubicaciones de oficinas (¿es un entorno de confianza cero o los servidores tendrán que estar incluidos en la lista blanca?), si almacena datos confidenciales, etc.
Trabajar con auditores externos para el cumplimiento de SOC 2 Tipo II
El marco SOC 2 fue desarrollado por el Instituto Estadounidense de Contadores Públicos Certificados (AICPA) y una auditoría debe ser completada por una empresa de CPA.
Cuando evalúe a una empresa para que le audite para comprobar el cumplimiento de la norma SOC 2 Tipo II, tenga en cuenta la calidad y la experiencia, junto con el coste, y si es una buena opción para trabajar con su equipo día a día durante semanas o meses, y convertirse en asesor y socio a largo plazo de su organización.
Preguntas que hay que hacer: ¿Tienen un gran historial de auditorías exitosas? ¿La empresa tiene experiencia en auditoría específica para su sector? No dude en pedir revisiones de colegas, revisiones de terceros de documentos para auditores y referencias.
Además, considere la posibilidad de contratar a un auditor lo antes posible en el proceso, ya que puede ser valioso para ayudarle a determinar el proyecto y alinear internamente los recursos adecuados para cumplir su plazo (si tiene uno).
- Una vez que haya elegido al auditor, repasará:
- Un ejercicio de alcance y descubrimiento para establecer expectativas.
- Una evaluación de la preparación, para ver de arriba hacia abajo las brechas, lo que necesitará para empezar, qué políticas ya están implementadas, etc.
- Check-ins, antes de la prueba final
- El examen de certificación
Durante la auditoría, se le pedirá que proporcione las políticas, los controles y las pruebas de cada uno de ellos.
Cómo mantener la certificación SOC 2 Tipo II
Es importante tener en cuenta que el cumplimiento de la norma SOC 2 Tipo II no es uno y no está hecho. Requiere diligencia y esfuerzo continuo. El mantenimiento de la certificación SOC 2 Tipo II requiere una supervisión constante, documentación, divulgación y respuesta a los incidentes, formación de los empleados y evaluaciones periódicas. Esto es para demostrar que una organización tiene un compromiso constante con el cumplimiento y está realizando los cambios y las actualizaciones necesarios en las políticas.
Como organización con certificación ISO 27001, Pure Storage proporciona una serie de productos y servicios diseñados para proporcionar a nuestros clientes una supervisión y un control completos de sus datos. Eche un vistazo a nuestro conjunto de soluciones modernas de protección de datos para descubrir cómo podemos ayudarle a cumplir sus objetivos de cumplimiento normativo en materia de seguridad de los datos.
