¿Qué es SOC 2?

Qué abarca

System and Organization Controls (SOC) es un conjunto de servicios de informes del AICPA, el Instituto Americano de Contadores Públicos Certificados. Un informe SOC 2 cubre controles de una organización de servicios que son relevantes para una o más de cinco categorías de servicios de confianza: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. La seguridad es la base, y las otras cuatro se añaden cuando importan para el servicio.

El AICPA describe los encargos SOC como servicios que prestan los CPA, con normas profesionales que fija el AICPA. El informe es por tanto obra de un auditor independiente, no una declaración del proveedor sobre sí mismo. Contiene la opinión del auditor, la descripción del sistema por parte de la dirección, los controles incluidos y los resultados de las pruebas, con las excepciones que haya.

Hay dos tipos. Un informe de Tipo I examina si los controles estaban bien diseñados en un momento único. Un informe de Tipo II comprueba además si los controles funcionaron con eficacia durante un periodo declarado, y por eso los compradores suelen pedir el Tipo II.

Qué exige

Ninguna ley exige un informe SOC 2. Las empresas lo obtienen de forma voluntaria, normalmente porque los clientes lo piden en las revisiones de seguridad, y el marco no da una nota de aprobado o suspenso. El informe describe lo que se examinó y lo que encontró el auditor. «Certificado SOC 2» es una expresión corriente pero imprecisa, porque no se emite ningún certificado.

Qué significa para un agente de voz

Un agente de voz envía voz, nombres, datos de cuentas y a veces información de salud o de pago de quien llama a través de varios sistemas. Un informe SOC 2 es una de las formas más rápidas de ver cómo un proveedor gestiona el control de acceso, la gestión de cambios, los registros y la respuesta a incidentes. Al leer uno, comprueba estos puntos:

• Qué sistema y qué servicios están incluidos. Un informe sobre el panel web de una empresa puede no cubrir su ruta de audio en tiempo real.
• El periodo probado, y si es reciente. Si hay un hueco entre el final del periodo y hoy, puede hacer falta una carta puente.
• Qué categorías de servicios de confianza se incluyen. La seguridad sola dice poco sobre la confidencialidad o la privacidad.
• Las excepciones y la opinión del auditor, no solo la portada.
• Si los subproveedores del proveedor, como el alojamiento en la nube, quedan excluidos del informe.
• Quién firmó el informe. Un informe es tan creíble como la firma que lo suscribe.

Un informe SOC 2 es una prueba, no un sustituto de otras obligaciones. No reemplaza un acuerdo de asociado comercial bajo HIPAA, un acuerdo de tratamiento de datos bajo el RGPD, ni una evaluación PCI cuando intervienen datos de tarjetas (PCI DSS). Tampoco dice cuánto tiempo se conserva el audio, que es una decisión de configuración descrita en retención cero de datos. Para una lista de comprobación de compra, consulta la guía sobre IA de voz en local.

Preguntas para el asesor jurídico

1. ¿Basta un informe SOC 2 para nuestros contratos con clientes o piden algo más?
2. ¿Qué categorías y qué servicios deben incluirse para nuestro caso de uso?
3. ¿Qué hacemos con el periodo entre la fecha de cierre del informe y nuestra fecha de puesta en marcha?
4. ¿Cómo debemos tratar las excepciones que anotó el auditor?
5. ¿Podemos compartir el informe del proveedor con nuestros propios clientes y en qué condiciones?

Términos relacionados

• HIPAA
• RGPD
• PCI DSS
• Retención cero de datos

Guías

• IA de voz en infraestructura propia: qué es y cómo funciona

Fuentes

• AICPA and CIMA, System and Organization Controls (SOC) suite of services