El cumplimiento de SOC puede resultar complicado y llevar mucho tiempo a las organizaciones. Si en este momento lo estás investigando, hemos elaborado una guía extensa para ayudarte a comprender los aspectos fundamentales. En esta guía explicamos la diferencia entre SOC 1 y SOC 2, por qué podrías necesitar uno en lugar del otro, cómo funcionan las auditorías SOC y si vale la pena plantearse SOC 3.
¿Qué diferencia hay entre los informes SOC de tipo I y tipo II?
¿Qué es SOC 1, quién lo necesita y por qué?
¿Qué es SOC 2, quién lo necesita y por qué?
¿Qué es SOC 3, quién lo necesita y por qué?
¿Qué empresas necesitan varios informes SOC?
¿Cómo funcionan las auditorías SOC? Plazos, costes y recursos
¿Cuánto cuesta una auditoría SOC?
Cómo puede ayudarte Proton a completar las auditorías SOC
Consejos para las auditorías SOC
SOC 1 vs SOC 2 vs SOC 3
Los informes SOC pueden parecer niveles de un mismo tipo de informe, pero no lo son. En realidad, son tres informes distintos creados para tres públicos diferentes. Así que, cuando los comparas, no se trata de cuál es mejor, sino de cuál se adapta mejor a tus necesidades.
- SOC 1 está dirigido a empresas cuyos servicios están relacionados con la información financiera de un cliente, como procesadores de nóminas, administradores de siniestros o administradores de fondos.
- SOC 2 está dirigido a empresas que gestionan datos de clientes, como proveedores de SaaS, de nube y de tecnología.
- SOC 3 es un resumen público de un informe SOC 2. Utiliza los mismos criterios subyacentes, pero sin los detalles técnicos confidenciales, por lo que se puede compartir libremente.
¿Por qué someterse a una auditoría SOC?
Los clientes necesitan pruebas de que tu empresa es digna de confianza para tratar sus datos, pero auditar a cada proveedor por separado puede ser lento y costoso para todos los implicados. Los clientes de tu organización son el público al que va dirigido el informe.
Desarrollada por el American Institute of CPAs (AICPA), una auditoría SOC permite a una empresa pasar por ese proceso una sola vez con una firma de CPA independiente y, después, entregar el informe resultante a un posible cliente, en lugar de rellenar un nuevo cuestionario de seguridad para cada oportunidad. En sectores regulados o concienciados con la seguridad, como las finanzas y la sanidad, un informe SOC a menudo determina si tu empresa llega siquiera a la lista corta de proveedores.
Una auditoría SOC también impulsa a las empresas a implantar controles de seguridad reales, como la gestión de accesos, la monitorización y la respuesta ante incidentes, a lo largo del proceso. Así, aunque el informe existe para satisfacer a los equipos de compras de los clientes, el proceso que hay detrás refuerza tus prácticas de seguridad, independientemente de quién lea el informe. Dado que los informes SOC revelan información detallada sobre los procesos y la infraestructura de una empresa, esta suele exigir a los clientes que firmen un acuerdo de confidencialidad (NDA) antes de poder compartir el informe.
Tabla comparativa: SOC 1 vs SOC 2 vs SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| Enfoque | Controles internos sobre la información financiera | Seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad | Los mismos criterios que SOC 2, pero resumidos |
| Norma aplicable | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| Público habitual | Auditores, reguladores y los equipos de finanzas/contabilidad del cliente | Los equipos de seguridad, TI y compras de los clientes | Público general / clientes potenciales |
| Distribución del informe | Restringido: se comparte bajo NDA con determinadas partes interesadas | Restringido: se comparte bajo NDA con determinadas partes interesadas | Público: se puede publicar o compartir libremente |
| Ejemplos de empresas | Proveedores de nóminas, procesadores de siniestros, administradores de fondos | Plataformas SaaS, proveedores de nube, centros de datos | Empresas que tienen un SOC 2 y quieren una versión compartible |
| Tipos de informe disponibles | Tipo I y tipo II | Tipo I y tipo II | No aplicable |
¿Qué diferencia hay entre los informes SOC de tipo I y tipo II?
Hay dos tipos de informes disponibles para las auditorías SOC 1 y SOC 2, y aquí es donde las comparaciones resultan más útiles.
- Una auditoría de tipo I examina la documentación, las políticas y los diseños de sistemas que una empresa ha implantado, y evalúa si esos controles están diseñados adecuadamente para proteger los datos. No comprueba si las medidas de protección funcionan realmente a lo largo del tiempo; solo confirma que están ahí y que parecen correctas.
- Una auditoría de tipo II examina la documentación, las políticas y el diseño de los sistemas, y después supervisa su funcionamiento de forma continua durante un periodo de 3 a 12 meses. El auditor verifica que los controles no solo estén bien diseñados, sino que también se sigan de forma efectiva; que la empresa mantenga registros, haga copias de seguridad, supervise el acceso y gestione los incidentes según lo prometido.
Los clientes y los socios suelen confiar más en una auditoría de tipo II porque demuestra un rendimiento de seguridad continuo y real. A diferencia de SOC 1 y SOC 2, que solo se dirigen a públicos distintos, una auditoría de tipo II puede considerarse más sólida que una de tipo I.
¿Qué es SOC 1, quién lo necesita y por qué?
SOC 1 es un marco de cumplimiento y auditoría para las empresas cuyos servicios afectan a la información financiera de sus clientes. SOC 1 satisface las necesidades de los auditores externos de los clientes y ofrece la garantía de que los controles de una organización de servicios no introducirán errores en los libros de sus clientes.
¿Qué tipos de empresas se benefician de la certificación SOC 1?
SOC 1 es la certificación de referencia para las empresas que gestionan transacciones financieras o datos en nombre de terceros. Esto incluye a los procesadores de nóminas, los procesadores de pagos, los administradores de fondos, los procesadores de reclamaciones y las plataformas de gestión de préstamos. Una certificación SOC 1 puede abrir la puerta a nuevos contratos con clientes más grandes, reducir la fricción durante las auditorías anuales y reforzar la reputación de una empresa en cuanto a procesos financieros fiables y bien controlados, lo que a menudo determina si tu empresa llega siquiera a ser tenida en cuenta para trabajos con información financiera sensible.
¿Qué es SOC 2, quién lo necesita y por qué?
SOC 2 es un marco de cumplimiento y auditoría para las empresas que gestionan datos de clientes. Una auditoría SOC 2 genera un informe que documenta cómo resisten los controles de una empresa frente a los Criterios de Servicios de Confianza (Trust Services Criteria) del AICPA, que abarcan la seguridad, la disponibilidad, la integridad del procesamiento, la confidencialidad y la privacidad, junto con la opinión de un auditor independiente sobre si esos controles están bien diseñados. SOC 2 es una certificación necesaria para las empresas que necesitan demostrar la eficacia de sus controles de seguridad a clientes y socios de Estados Unidos.
¿Qué tipos de empresas se benefician de la certificación SOC 2?
Las empresas que ofrecen servicios basados en la tecnología son las que más se benefician de la certificación SOC 2. Esto incluye el software como servicio (SaaS), la infraestructura en la nube, las plataformas de análisis de datos, las soluciones fintech y las aplicaciones de tecnología sanitaria. Con las vulneraciones de datos convertidas en la norma, los clientes necesitan la tranquilidad de que una empresa puede proteger los datos y los sistemas que les confían. Una certificación SOC 2 lo ofrece, lo que a su vez puede abrir la puerta a nuevos contratos con grandes corporaciones, simplificar las evaluaciones de riesgo de proveedores y reforzar la reputación de una empresa en materia de protección de datos.
Lee más sobre la auditoría SOC 2 de tipo II de Proton
¿Qué es SOC 3, quién lo necesita y por qué?
El SOC 3 se deriva del mismo proceso de auditoría que el SOC 2, solo que tiene una finalidad distinta. El informe SOC 3 es un resumen de alto nivel de la misma información, sin los datos detallados y específicos que exigen un acuerdo de confidencialidad (NDA), por lo que a menudo se utiliza como resumen público del informe SOC 2.
¿Qué tipos de empresas se benefician de la certificación SOC 3?
No es posible obtener un SOC 3 sin pasar por el proceso de auditoría del SOC 2, pero las empresas que ya se están evaluando para una certificación SOC 2 y quieren usar esa información en campañas de marketing o presentaciones de ventas pueden beneficiarse de solicitar un informe SOC 3.
¿Qué empresas necesitan varios informes SOC?
Elegir entre SOC 1 y SOC 2 suele consistir en elegir qué informe se ajusta mejor a las necesidades de tus clientes. Sin embargo, algunas empresas sí necesitan más de un informe SOC. Por ejemplo, una empresa fintech que procesa pagos y almacena datos confidenciales de clientes podría necesitar tanto un SOC 1 (porque afecta a la información financiera de los clientes) como un SOC 2 (porque gestiona datos de clientes).
| Combinación de auditorías SOC | Tipo de empresa |
| SOC 1 + SOC 2 | Empresas que gestionan tanto la información financiera como datos importantes de clientes |
| SOC 1 + SOC 3 | N/A (No es posible obtener un SOC 3 sin un SOC 2) |
| SOC 2 + SOC 3 | Empresas que gestionan datos importantes de clientes y quieren mostrar su certificación SOC 2 en contenido público |
| SOC 1 + SOC 2 + SOC 3 | Empresas que gestionan tanto la información financiera como datos importantes de clientes y quieren mostrar su certificación SOC 2 en contenido público |
¿Cómo funcionan las auditorías SOC? Plazos, fases de auditoría y renovaciones
Hay una serie de variables que influyen en el coste y el tiempo que requiere una auditoría SOC. Estos son algunos de los factores que debes tener en cuenta si estás planificando el cumplimiento de SOC 1 o SOC 2.
Cronología de SOC
| SOC | Plazo |
| SOC 1 de tipo I | ~ 2-4 meses |
| SOC 1 de tipo II | ~ 6-12 meses en total; el periodo de observación suele ser de 6-12 meses |
| SOC 2 de tipo I | ~ 3-6 meses en total |
| SOC 2 de tipo II | ~ 6-15 meses en total; el periodo de observación suele ser de 3-12 meses |
Fases de la auditoría SOC
Una auditoría SOC consta de varias fases que se desarrollan a lo largo de semanas o meses. Así es cada etapa:
1. Preparación (semanas 1-4)
Antes de que empiece cualquier prueba, identificas qué sistemas entran dentro del alcance y confirmas cuáles de los Criterios de Servicios de Confianza del AICPA se aplican. En el caso de SOC 2, eso suele significar la seguridad como criterio obligatorio, además de cualquier combinación de disponibilidad, integridad del procesamiento, confidencialidad y privacidad en función de las necesidades de los clientes. También haces un inventario de los controles que ya tienes en marcha, como las políticas de acceso, los estándares de cifrado, los procedimientos de copia de seguridad y los planes de respuesta ante incidentes. El objetivo aquí es evitar sorpresas más adelante.
2. Documentación (semanas 4-8)
Reúnes pruebas de que tus controles existen y están bien diseñados. Esto incluye políticas escritas, diagramas de arquitectura del sistema, matrices de acceso basadas en roles, evaluaciones de riesgo de proveedores y registros de formación. El auditor revisará estos materiales para asegurarse de que cubren todos los requisitos pertinentes y se ajustan a lo que los clientes esperarían razonablemente.
3. Auditoría (semanas 8-12)
En el caso de un informe de tipo I, el auditor realiza el trabajo de campo en un único momento concreto. Entrevista al personal clave, toma muestras de las pruebas de control y verifica que tu documentación refleje la realidad. En esta etapa, confirma que los controles están diseñados correctamente.
4. Observación (meses 3-15)
El tipo II añade un periodo de observación en el que el auditor supervisa tus controles de forma continua. Durante este periodo, examinará aspectos como:
- Registros de acceso: quién obtuvo permisos, cuándo se revocó el acceso y si las cuentas privilegiadas se revisaron periódicamente
- Registros de gestión de cambios: cómo se aprobaron y siguieron las implementaciones de código
- Gestión de incidentes: si los eventos de seguridad se detectaron, escalaron y resolvieron según el proceso documentado
- Copias de seguridad y monitorización: evidencia de que los sistemas se monitorizan y restauran realmente como se prometió
Al final del periodo de observación, quien audita emite su opinión sobre cómo funcionaron los controles durante todo el periodo.
Renovaciones de SOC
Renovar la atestación SOC suele ser más rápido que la primera auditoría. Como el alcance, los controles y los límites del sistema ya están establecidos, quien audita parte de una base conocida en lugar de empezar desde cero, y muchas renovaciones son más baratas y rápidas que la auditoría inicial. Los informes suelen tener una validez de 12 meses, por lo que la mayoría de las empresas renueva cada año, a menudo iniciando el siguiente periodo de observación justo después de que termine el actual para evitar cualquier interrupción en la cobertura.
¿Cuánto cuesta una auditoría SOC?
Es casi imposible determinar el coste de una auditoría SOC sin obtener un presupuesto de un CPA (contador público certificado), ya que puede oscilar entre tan solo 5000 USD y más de 150 000 USD. El coste dependerá de varios factores, como el tamaño de la organización, su grado de preparación, cuántos recursos se pueden dedicar al proceso y qué tipo de auditoría se busca. Las auditorías de tipo I suelen ser menos costosas porque llevan menos tiempo.
Cómo puede ayudarte Proton a completar auditorías SOC
Proton cuenta tanto con la certificación ISO 27001 como con la atestación SOC 2 Tipo II, lo que puede facilitar que las empresas que usan productos de Proton obtengan su propia acreditación. Al usar un espacio de trabajo seguro y cifrado, heredas una base de seguridad probada que ya cumple con las rigurosas auditorías que respaldan SOC 2 Tipo II. Esto puede reducir el esfuerzo necesario para demostrar el cumplimiento y acortar los plazos de auditoría.
Consejos para las auditorías SOC
- Haz todo el trabajo de preparación posible antes de que empiece la auditoría. La falta de preparación suele ralentizar el proceso y aumentar los costes.
- Define los límites del sistema antes de que empiece el trabajo de campo. La ambigüedad sobre lo que realmente está dentro del alcance es una de las causas más comunes de retrasos.
- Elige el periodo de observación del Tipo II en función de quién solicita el informe, no solo de la rapidez con la que lo quieres. Un periodo de tres meses te da un informe antes, pero muchos clientes esperan entre seis meses y un año de evidencia y pueden rechazar cualquier cosa inferior.
- Asigna responsables claros de los controles desde el principio. Los mayores retrasos pueden producirse mientras se busca a la persona adecuada dentro de la empresa para obtener evidencias, aprobaciones o entrevistas.
- Planifica las renovaciones y trata la recopilación de evidencias como un hábito continuo en lugar de una carrera de última hora antes de la auditoría. Las organizaciones que integran la monitorización continua en sus operaciones habituales suelen tener renovaciones más rápidas y económicas que las que tratan cada ciclo como un proyecto puntual.
Preguntas frecuentes sobre las auditorías SOC 1 y SOC 2
¿Qué son SOC 1 y SOC 2?
SOC 1 y SOC 2 son dos marcos de auditoría desarrollados por la AICPA, pero tienen propósitos diferentes. SOC 1 se centra en los controles internos sobre la información financiera. Está diseñado para empresas cuyos servicios afectan a los estados financieros de sus clientes, como los procesadores de nóminas o los administradores de fondos. SOC 2 se centra en la seguridad, la disponibilidad, la integridad del procesamiento, la confidencialidad y la privacidad. Está diseñado para proveedores de tecnología y servicios en la nube que gestionan datos de clientes.
¿Necesitas SOC 1 antes de SOC 2?
No, las auditorías SOC no son secuenciales, simplemente son diferentes, así que no necesitas completar una SOC 1 antes de hacer una SOC 2. Una SOC 1 está pensada para empresas que realizan informes financieros, mientras que una SOC 2 audita la seguridad, la privacidad y la integridad del procesamiento de una empresa.
¿Cuánto tarda una auditoría SOC 2?
Una auditoría SOC 2 puede tardar entre tres meses y más de un año en completarse, dependiendo de si se busca una auditoría de tipo I o de tipo II, del tamaño y la complejidad de la organización y de la preparación del equipo.
¿Cuánto cuesta una auditoría SOC 1 o SOC 2?
Una auditoría SOC puede costar entre 5000 USD y 150 000 USD, según el tipo de auditoría, el tamaño de la organización y la complejidad de los sistemas.
¿Es SOC 2 una certificación?
No, una SOC 2 no es una certificación, es una atestación. Aunque los términos se usan indistintamente con las auditorías SOC 1 y 2, una atestación se parece más a una calificación, mientras que una certificación es un aprobado o suspenso.
¿Con qué frecuencia hay que repetir una SOC 2?
Una auditoría SOC no expira técnicamente, siempre que los sistemas no cambien, pero el estándar del sector es renovarla cada 6-12 meses. Muchas empresas configuran un proceso de renovación anual, pero dependerá de si se busca una auditoría de tipo I o de tipo II y, en el caso del tipo II, de la duración del periodo de observación.
¿Se puede obtener una SOC 3 sin una SOC 2?
No, una SOC 3 se deriva del mismo proceso de auditoría que una SOC 2. Una SOC 3 es un complemento opcional de una SOC 2, no un proceso independiente.
