¿Qué se evalúa en un SOC 2 tipo II?
En una auditoría de cumplimiento SOC 2 tipo II, las políticas y los controles diseñados para cumplir con los criterios de servicio anteriores se evalúan para determinar su eficacia, generalmente durante un período de seis meses. ¿Son adecuados los controles para los criterios? ¿Su organización es consistente para llevarlas a cabo?
¿Qué es una certificación SOC 2 tipo II?
La certificación SOC 2 tipo II es una prueba de un auditor externo de que las políticas de una organización aprobaron la auditoría para el cumplimiento SOC 2 tipo II.
¿Cuáles son los beneficios del cumplimiento SOC 2 tipo II?
Los beneficios de SOC 2 tipo II son mejorar la salud general de la seguridad y protección de datos dentro de una organización y entre sus proveedores. Para los proveedores de servicios, la certificación SOC 2 Tipo II puede ayudar a mejorar las probabilidades de ganar una asociación o un cliente sobre la competencia. Para los clientes, es una prueba demostrable de que sus datos estarán en buenas manos con los controles y las medidas de seguridad adecuados.
¿Quién necesita cumplir con SOC 2 tipo II?
Cualquier proveedor que maneje datos de clientes o información confidencial que busque cumplir con las obligaciones contractuales con un cliente para el cumplimiento de SOC 2 tipo II puede beneficiarse de la certificación.
SOC 2 frente a otras certificaciones de cumplimiento
Diferencias entre SOC 1 y SOC 2
¿Cuál es la diferencia entre SOC 1 y SOC 2? SOC 1 no se centra en los criterios de seguridad, sino en los criterios de informes financieros. El SOC 1 también fue diseñado para organizaciones de servicios, pero específicamente para aquellas a las que se subcontrataron ciertas funciones financieras. Tenga en cuenta que las auditorías de SOC 1 generalmente se alinean con los años fiscales e incluyen cinco criterios de servicio, incluido el entorno de control, la evaluación de riesgos, las actividades de control, la comunicación y la información, y el monitoreo.
Diferencias entre SOC 2 e ISO-27001
Tanto SOC 2 tipo II como ISO-27001 son marcos que se centran en la administración de InfoSec. Si bien SOC 2 tipo II evalúa la eficacia general de los controles de seguridad, ISO-27001 es un enfoque sistemático y prescriptivo para los sistemas de administración de seguridad de la información. El enfoque principal de ISO-27001 se centra en los sistemas y controles internos y es un estándar, mientras que SOC 2 tipo II es un marco para realizar una auditoría.
SOC 2 tipo II frente a PCI DSS, HIPAA, GDPR
Hay varios marcos de cumplimiento: ¿cómo son diferentes y qué organizaciones los necesitan?
SOC 2 Tipo II y Norma de seguridad de datos de la industria de tarjetas de pago (PCI DSS) son dos marcos de cumplimiento muy diferentes con poca o ninguna superposición. PCI DSS está específicamente relacionado con los controles sobre cómo se manejan la información y las transacciones de las tarjetas de crédito. PCI DSS también se aplica solo a los proveedores de servicios financieros, mientras que SOC 2 tipo II cubre una gama más amplia de industrias. Por último, PCI DSS se lleva a cabo anualmente, y no por una empresa de CPA.
SOC 2 tipo II y la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) también son diferentes en el área de enfoque de los datos que se protegen. La HIPAA se aplica solo a las organizaciones de atención de la salud y a los proveedores de servicios que manejan los datos de los pacientes (y la ley lo exige), mientras que SOC 2 tipo II puede incluir organizaciones de atención de la salud, pero no es obligatorio para ellas. Además, mientras que SOC 2 tipo II no es tan prescriptivo en la forma en que se cumplen los criterios de servicio, HIPAA lo es, con estándares muy específicos que deben cumplirse para el cumplimiento.
SOC 2 tipo II y el Reglamento General de Protección de Datos (GDPR) son marcos que abordan la seguridad y privacidad de los datos. El marco del GDPR solo se aplica a las organizaciones que manejan datos personales de residentes dentro de la Unión Europea y se centra en los derechos de privacidad y protección de datos. Esto requiere controles en torno a la transparencia de cómo se utilizan los datos, el “derecho a ser olvidado” y la minimización y el consentimiento de los datos. Si bien SOC 2 tipo II no es obligatorio, el GDPR sí lo es y el incumplimiento puede conllevar ramificaciones y multas legales.
Preparación para la evaluación SOC 2 tipo II
Prepararse para una auditoría SOC 2 tipo II es un esfuerzo de equipo y puede requerir bastantes horas de personal para despegar. Decidir implementar el cumplimiento de SOC 2 tipo II también puede requerir una cantidad justa de aceptación y asistencia interna para poner las cosas en marcha e incorporarlo en los procesos a largo plazo.
Pasos para prepararse para la evaluación SOC 2 tipo II
- Conozca el “por qué” detrás de su solicitud de cumplimiento de SOC 2. Ya sea que se trate de una solicitud de un cliente u otro motivo, esto lo ayudará a comprender sus plazos para la certificación de cumplimiento, el alcance del trabajo involucrado y más. Esto también le ayudará a identificar las políticas existentes que pueda tener y también le proporcionará al auditor contexto y alcance.
- Reúna al equipo adecuado de personas dentro de su organización para incorporarlas al SOC 2 tipo II. Dependiendo de su plazo para poner en marcha el SOC 2 tipo II, es posible que necesite más personas para participar en ciertas tareas, recopilación de evidencia y desarrollo. Este grupo puede incluir:
- Liderazgo, como el CEO, el CTO, el CISO y otros ejecutivos de alta gerencia.
- Desarrollo y operaciones
- Recursos humanos, ya que los empleados pueden llegar al alcance de las auditorías.
- InfoSec
- InfoSecPrepárese para proporcionar alcance. Esté preparado para responder preguntas específicas sobre los datos, como dónde se aloja su servicio (nube pública, en las instalaciones), pronóstico de capacidad, ubicaciones de oficinas (¿es un entorno de confianza cero o los servidores deberán estar en la lista blanca?), si almacena datos confidenciales, etc.
Trabajar con auditores externos para el cumplimiento de SOC 2 tipo II
El marco SOC 2 fue desarrollado por el Instituto Estadounidense de Contadores Públicos Certificados (American Institute of Certified Public Accountants, AICPA) y una empresa de CPA debe completar una auditoría.
Cuando evalúe a una empresa para que lo audite en cuanto al cumplimiento de SOC 2 tipo II, considere la calidad y la experiencia junto con el costo, y si es una buena opción para trabajar junto a su equipo día a día durante semanas o meses, y conviértase en un asesor y socio a largo plazo para su organización.
Preguntas que debe hacer: ¿Tienen un gran historial de auditorías exitosas? ¿La empresa tiene experiencia en auditoría específica para su industria? No dude en solicitar revisiones de pares, revisiones de terceros requeridas de documentos para auditores y referencias.
Además, considere contratar a un auditor lo antes posible en el proceso, ya que puede ser valioso para ayudarlo a determinar el alcance del proyecto y alinear los recursos adecuados internamente para cumplir con su plazo (si tiene uno).
- Una vez que haya elegido al auditor, realizará lo siguiente:
- Un ejercicio de determinación del alcance y descubrimiento para establecer expectativas
- Una evaluación de preparación, para un análisis descendente de las brechas, lo que necesitará para comenzar, qué políticas ya están vigentes, etc.
- Controles previos a la prueba final
- El examen de certificación
Durante la auditoría, se le pedirá que proporcione las políticas, los controles y la evidencia de cada uno.
Cómo mantener la certificación SOC 2 tipo II
Es importante tener en cuenta que el cumplimiento de SOC 2 tipo II no es uno y está listo. Requiere diligencia y esfuerzo continuo. Mantener la certificación SOC 2 tipo II requiere monitoreo constante, documentación, divulgación y respuesta a incidentes, capacitación de empleados y evaluaciones periódicas. Esto es para demostrar que una organización tiene un compromiso continuo con el cumplimiento y está realizando los cambios y actualizaciones necesarios en la política.
Como organización con certificación ISO 27001, Pure Storage ofrece una serie de productos y servicios diseñados para brindar a nuestros clientes un monitoreo y control integral sobre sus datos. Consulte nuestro conjunto de soluciones modernas de protección de datos para ver cómo podemos ayudarlo a cumplir con sus objetivos de cumplimiento de seguridad de datos.
