¿SOC 2 o ISO 27001?

Quién pide qué

La pregunta suele llegar del equipo de riesgo de proveedores de un cliente. Los compradores norteamericanos, sobre todo en tecnología y finanzas, suelen pedir un informe SOC 2. Los compradores en Europa, y las grandes multinacionales en todas partes, a menudo preguntan si tiene la certificación ISO 27001. Los organismos públicos tienen sus propios requisitos, como una clasificación de seguridad para los datos y la accesibilidad según WCAG AA.

Antes de empezar con cualquiera de los dos, pregunte a sus próximos clientes qué aceptarán de verdad. Algunos se conformarán por ahora con un cuestionario respondido y sus documentos de arquitectura; otros no firmarán sin un informe. Esa respuesta decide si es un proyecto para este trimestre o para el año que viene.

SOC 2, en términos sencillos

Un informe SOC 2 es un examen de los controles de una organización de servicios, realizado por una firma independiente de contables públicos certificados (CPA) según las normas del AICPA ^[1]. Cubre la seguridad y, de forma opcional, la disponibilidad, la integridad del procesamiento, la confidencialidad y la privacidad. Es un informe de atestación, no un certificado: el auditor informa sobre sus controles, y su cliente lee el informe.

• Un informe de Tipo I examina si los controles están bien diseñados en un momento dado. Es más rápido y a menudo el primer paso.
• Un informe de Tipo II examina si los controles funcionaron con eficacia durante un periodo de observación. Es lo que la mayoría de los clientes empresariales acaban queriendo.
• El informe se comparte con los clientes bajo un acuerdo de confidencialidad; no es un distintivo público.

ISO 27001, en términos sencillos

ISO/IEC 27001 es una norma internacional para un sistema de gestión de la seguridad de la información: cómo decide una empresa sus riesgos, elige sus controles y los sigue mejorando. La certificación la emite un organismo de certificación acreditado tras una auditoría, y se mantiene con auditorías de seguimiento y una recertificación periódica.

Los dos coinciden en gran medida en los controles. Una empresa que construye los controles una vez normalmente puede hacerlos corresponder con ambos, así que un segundo marco cuesta sobre todo la diferencia: el sistema de gestión y la documentación que espera ISO, o los informes que espera SOC 2.

Lo que no es una certificación

En qué consiste de verdad el trabajo

1. 01

   Análisis de brechas

   Compare lo que hace hoy con lo que espera el marco, y enumere lo que falta.

2. 02

   Controles en el producto

   Acceso por roles e inicio de sesión único, registros de auditoría, cifrado, copias de seguridad con restauraciones probadas, monitorización, análisis de vulnerabilidades y gestión de cambios, integrados en el sistema y no descritos sobre el papel.

3. 03

   Políticas

   Un conjunto de políticas escritas que coincida con lo que el equipo hace de verdad, porque el auditor contrasta lo uno con lo otro.

4. 04

   Evidencias

   Se recogen a medida que se trabaja, a menudo en una plataforma de cumplimiento, para que el periodo de observación de un informe de Tipo II empiece con un sistema que ya funciona.

5. 05

   Trabajo de campo y hallazgos

   Apoyo mientras el auditor hace sus pruebas, y correcciones de lo que encuentre.

Cómo responder a los cuestionarios mientras tanto

Hasta que haya un informe, el cuestionario de seguridad es el informe. Respóndalo bien: mantenga un único conjunto maestro de respuestas, escrito por las personas que operan el sistema, y actualícelo cada vez que cambie el sistema. Adjunte lo que pueda mostrar en lugar de describirlo: un diagrama de arquitectura, el flujo de datos, el procedimiento de copia y restauración, la revisión de accesos, el resultado de la última prueba de penetración. Una respuesta honesta que dice que un control está previsto, con una fecha, causa mejor impresión a un equipo de riesgo de proveedores que un sí vago.

Esas mismas respuestas maestras se convierten en el punto de partida del análisis de brechas cuando decida buscar un informe, así que no se desperdicia nada del esfuerzo.

Cómo elegir un auditor

Elija el auditor pronto, antes de terminar la preparación, y pregúntele cómo trabaja: cómo hace las pruebas, qué evidencias espera, si acepta evidencias de su plataforma de cumplimiento y cuánto tardan el trabajo de campo y el informe. Pregunte a sus clientes si prefieren firmas concretas. El auditor debe ser independiente de quien le ayudó a prepararse, y esa es una de las razones por las que un estudio que construye sus controles nunca puede ser quien informe sobre ellos.

Lo que cuesta, calculado ahora

Los tres ejemplos prácticos de abajo tienen el precio que calcula nuestro estimador con la tarifa vigente cuando abre esta página, para un mismo producto web: la preparación para un primer informe SOC 2 de Tipo I, el apoyo en la auditoría hasta un informe de Tipo II, y SOC 2 de Tipo II e ISO 27001 mantenidos de forma continua. Nuestro precio cubre la ingeniería y el apoyo en la auditoría; los honorarios del auditor y la plataforma de cumplimiento, si la hay, el estimador los muestra aparte como horquillas orientativas, porque los paga usted directamente.

Cuando todavía no conviene ninguno

Si ningún cliente lo ha pedido, o los que lo han pedido aceptan un cuestionario, el informe puede esperar. Lo que no debe esperar es la ingeniería: el inicio de sesión único, los registros de auditoría, el cifrado, unas copias de seguridad que se pueden restaurar y la gestión de cambios cuestan mucho menos si se integran desde el principio que si se añaden justo antes de una auditoría. Construya ahora los controles, y el informe será un proyecto menor cuando un cliente por fin lo pida.