Preparación para SOC 2 para empresas de SaaS: Type I y Type II

SOC 2 Type I atestigua que los controles están adecuadamente diseñados en un momento puntual. SOC 2 Type II atestigua que los controles funcionaron de forma eficaz durante un periodo de observación, normalmente de 6 a 12 meses (3 meses es posible en informes de primer año, pero las compras empresariales insisten cada vez más en 12). La mayoría de los compradores empresariales de EE. UU. piden un Type II vigente que cubra como mínimo la categoría de Seguridad (Criterios Comunes CC1.0–CC9.0). El camino pragmático: Type I en el mes 4 para desbloquear el pipeline y después una ventana de Type II de 6 meses que arranque de inmediato, con el informe disponible unos 10 meses después del arranque.

Seguridad (Criterios Comunes CC1.0–CC9.0) es obligatoria en todo SOC 2: abarca el entorno de control alineado con COSO 2013, la comunicación, la evaluación de riesgos, la monitorización, el acceso lógico/físico, las operaciones del sistema, la gestión de cambios y la mitigación de riesgos. Las categorías opcionales: A1.0 Disponibilidad (tiempo de actividad y capacidad; elíjala si vende SLA), C1.0 Confidencialidad (protección de datos no públicos; habitual en SaaS B2B), PI1.0 Integridad del procesamiento (integridad y exactitud de las transacciones; habitual en fintech y pagos), P1.0–P8.0 Privacidad (aviso, elección, recogida, uso, retención, divulgación, calidad, monitorización; elíjala si trata PII de consumidores a escala). La mayoría de los SaaS B2B empiezan con Seguridad+Disponibilidad+Confidencialidad.

Más de lo que sugieren las plataformas de automatización de los proveedores y menos de lo que presupuestan los consultores tradicionales. Trabajo de ingeniería real: la gestión de cambios (CC8.1) significa un flujo de ramas/PR/aprobación en Git que los auditores puedan repetir a partir del historial de commits; el acceso lógico (CC6.1–CC6.3) significa SSO con MFA en todos los sistemas con PHI o datos de clientes más revisiones trimestrales de acceso; la monitorización del sistema (CC7.1–CC7.5) significa registro centralizado, alertas, guardia rotativa y postmortems de incidentes; la gestión de proveedores (CC9.2) significa un inventario de proveedores con seguimiento y revisiones de seguridad. Implementamos los controles reales en sus stacks de IaC, IdP, tickets y monitorización; las herramientas de automatización observan lo que ya existe, no lo construyen.

Son recopiladoras de evidencias y generadoras de plantillas de políticas, no implementadoras de controles. Se integran con AWS/GCP/Okta/GitHub, etc. y extraen evidencias continuas (MFA activado, cifrado activado, copias de seguridad en marcha, análisis de vulnerabilidades limpios), lo que reduce drásticamente el coste de la observación del Type II. Trabajamos con la plataforma que tenga o le recomendamos una según su stack; después construimos los controles que la plataforma vigila. El error es comprar primero la plataforma y dar por hecho que un panel que se pone en verde equivale a un estado listo para auditoría: no es así, porque los controles que se evidencian por la cultura de trabajo (revisiones de acceso, revisiones de proveedores, aprobaciones de cambios, postmortems de incidentes) viven fuera de la plataforma y siguen necesitando una cadencia humana.

Calendario realista: 12–18 semanas de trabajo de preparación (análisis de brechas, implementación de controles, adopción de políticas, integración de la automatización) y después, o bien una auditoría Type I (unas 4 semanas de trabajo de campo del auditor, con el informe 2–4 semanas después), o bien directamente una ventana de observación Type II de 6 meses. Los honorarios de auditoría de la firma de CPA son aparte de nuestro trabajo y suelen estar entre $20k–$60k para un Type II según el alcance y el nivel de la firma. Combinando nuestro proyecto de preparación, la preparación del Type I, la iguala del Type II y la auditoría de CPA aparte, la mayoría de las empresas de SaaS llegan a un Type II limpio en 9–12 meses desde el arranque.

Tres paquetes, cada uno acotado a su stack y con el presupuesto acordado antes de empezar el trabajo: alcance cerrado por fase, sin sobreprecio empresarial. Preparación es un proyecto de alcance cerrado (4–6 semanas): definición del alcance de los TSC, análisis de brechas de controles, configuración de la plataforma de automatización y ajuste de integraciones, paquete de políticas (más de 15 políticas asignadas a los CC y a las categorías elegidas), asignación de responsables de controles y sesión informativa para la dirección. Preparación del Type I es un proyecto de alcance cerrado (8–12 semanas): implementación de controles en código/IaC/IdP, recopilación de evidencias, enlace con el auditor durante el trabajo de campo y corrección de las brechas de diseño que señale el auditor. Type II continuo es una iguala mensual transparente: reunión mensual con los responsables de controles, revisiones trimestrales de accesos y proveedores, monitorización de la calidad de las evidencias, respuesta a incidentes con iguala y enlace con el auditor durante la ventana del Type II. Los honorarios de la firma de CPA los factura la propia firma por separado.

SOC 2 no emite una carta de aprobado o suspenso: el auditor emite una opinión sin salvedades (controles adecuadamente diseñados y/o que funcionan con eficacia), una opinión con salvedades (se anotan excepciones) o una opinión desfavorable (fallos materiales). Una opinión con salvedades con excepciones bien descritas y respuestas de la dirección es publicable y la aceptan la mayoría de los compradores empresariales: la transparencia sobre las brechas conocidas con un plan de corrección documentado resulta más creíble que un informe sin brechas en el que los compradores no creen. Una opinión desfavorable es poco frecuente y suele indicar que se omitió el trabajo de preparación. Nuestro trabajo es asegurar que no haya sorpresas en el trabajo de campo del Type II, ejecutando al menos una vez durante la ventana de observación el mismo muestreo que hará el auditor.

No existe una recertificación formal: los informes SOC 2 son de un momento puntual (Type I) o cubren una ventana de observación definida (Type II). Los compradores empresariales suelen querer un informe Type II con una antigüedad máxima de 12 meses. En la práctica esto significa una ventana continua de Type II: se termina un periodo de observación, se entregan las evidencias al auditor y se empieza la siguiente ventana de inmediato. La iguala de Type II continuo está estructurada justo para esto: la cadencia de controles, las revisiones de accesos, las revisiones de proveedores y la calidad de las evidencias funcionan de forma continua, de modo que cada nuevo periodo de Type II parte de una línea base sólida y no de una carrera de última hora.

La firma de CPA (una firma de contabilidad pública con licencia, no una consultora de TI generalista) es la única parte autorizada para emitir el informe SOC 2 conforme a SSAE 18. Su papel: el trabajo de campo (muestrear las evidencias frente a cada control incluido en el alcance), redactar con usted la descripción del informe y la matriz de controles, y emitir la opinión. Nosotros no somos la firma de CPA: nos encargamos de la preparación, la implementación de controles y el enlace con el auditor. Podemos presentarle auditores de nuestra red (las 15 principales firmas nacionales con prácticas de SOC 2) o trabajar con su firma actual. Elegir pronto al auditor importa: su plantilla de papeles de trabajo determina cómo estructuramos el paquete de evidencias.

Bastante más de lo que la mayoría de las empresas esperan, pero no tanto como sugieren las tablas de correspondencia. Los controles del anexo A de ISO 27001:2022 cubren aproximadamente el 80 % de los Criterios Comunes CC1.0–CC9.0 de SOC 2; el 20 % restante es el planteamiento de COSO 2013, la descripción del sistema (un artefacto propio de SOC 2 sin equivalente en ISO), los CUEC y el formato de evidencias que exigen los papeles de trabajo de la CPA. En la práctica: si tiene un certificado ISO 27001 vigente con un ISMS limpio, revisiones de accesos en marcha y registro centralizado, la fase de preparación se acorta entre 4–8 semanas. La auditoría Type I sigue siendo un proyecto aparte, porque la norma y el formato de evidencias son distintos.