Hoy es un gran día para las abreviaturas, ¿no crees? Genial, vamos allá. El Instituto Americano de Contables Públicos Certificados (AICPA) introdujo el Sistema y Organización de Controles (SOC). Este es el nombre de uno de los requisitos de cumplimiento más comunes que las empresas (tecnológicas) deben cumplir hoy en día, basado en los Criterios de Servicios de Confianza (TSC). Entonces, ¿qué es SOC 2? ¿Todavía lo sigues?
SOC 2 no es una lista prescriptiva de controles, herramientas o procesos. Más bien, cita los criterios necesarios para mantener una seguridad de la información robusta, permitiendo que cada empresa adopte las prácticas y procesos relevantes para sus propios objetivos y operaciones.
Tanto SOC 2 como ISO – ¿recuerdas esa? – son normas reconocidas internacionalmente que implican una auditoría independiente por parte de un tercero. La diferencia entre ISO 27001 y SOC 2 es que SOC 2 se utiliza principalmente en EE.UU. y que no da lugar a una certificación, sino a un informe de atestación.
Una firma con licencia CPA valida que los controles internos generales relacionados con los sistemas de información están en su lugar para asegurar el servicio que proporciona a sus clientes.
Los criterios de los servicios de confianza
Los requisitos se basan en cinco TSC. Estos criterios son seguridad, disponibilidad, integridad de procesamiento, confidencialidad y privacidad. Échales un vistazo:
- Seguridad se refiere a la protección de la información y los sistemas frente a accesos no autorizados.
- Seguridad se refiere a la protección de la información y los sistemas frente a accesos no autorizados
- Disponibilidad se refiere a si la infraestructura, el software o la información se mantiene y cuenta con controles para su funcionamiento, supervisión y mantenimiento.
- Integridad de procesamiento garantiza que los sistemas realizan sus funciones según lo previsto. Asimismo, que estén libres de errores, retrasos, omisiones y manipulaciones no autorizadas o inadvertidas.
- Integridad del procesamiento garantiza que los sistemas cumplen sus funciones según lo previsto
- Confidencialidad aborda la capacidad de la empresa para proteger los datos. Debe estar restringida a un conjunto específico de personas u organizaciones.
- Privacidad
- Criterios de privacidad habla de la capacidad de una organización para salvaguardar la información de identificación personal frente a accesos no autorizados.
–>
¿A quién se aplica el SOC 2?
Se aplica a cualquier proveedor de servicios tecnológicos o empresa SaaS que maneje o almacene datos de clientes. Los proveedores de terceros, otros socios u organizaciones de apoyo que trabajen con esas organizaciones, también deben mantener este cumplimiento para garantizar la integridad de sus sistemas de datos y salvaguardas.
¿Por qué deberían hacerlo? Bueno, además de que SOC 2 es una palabra que rima muy bien, es una forma increíble de que las organizaciones muestren a sus clientes y otras partes interesadas que se preocupan por la seguridad de sus datos. Los rigurosos requisitos de cumplimiento se ponen a prueba en la auditoría in situ
A saber, garantizan que la información sensible se maneja de forma responsable. Es probable que esto proporcione a las organizaciones una ventaja competitiva. Cumplir la normativa garantiza a los demás que disponen de la infraestructura, las herramientas y los procesos necesarios para proteger su información frente a accesos no autorizados.
La auditoría in situ pone a prueba los requisitos de cumplimiento de la normativa
Lo que también es digno de mención, es que las organizaciones (que implementan los controles necesarios) tienen menos probabilidades de sufrir violaciones de datos o violar la privacidad de los usuarios. Esto las protege de efectos negativos, como acciones regulatorias y daños financieros o de reputación. Todos salimos ganando, ¿verdad?
Resumiendo lo anterior, en la práctica, si tienes una conformidad SOC 2, sabes que tu organización mantiene un alto nivel de seguridad de la información. Esto tiene un montón de ventajas frente a ni una sola desventaja, que es una gran manera de cerrar este caso. woohoo!
