Hoy es un gran día para las abreviaciones, ¿no crees? Bene, andiamo. El Instituto Americano de Contables Públicos Certificados (AICPA) ha introducido el Sistema y Organización de Controles (SOC). Este es el nombre de uno de los requisitos de conformidad más comunes que las empresas (tecnológicas) deben cumplir hoy en día sobre la base de los Criterios de Servicios de Confianza (TSC). Por lo tanto ¿SOC 2? ¿Aún sigues?
El SOC 2 no es una lista prescriptiva de controles, instrumentos o procesos. Sin embargo, cita los criterios necesarios para mantener la seguridad de la información, autorizando a cada empresa a adoptar las prácticas y procesos pertinentes para sus propios objetivos y operaciones.
Tanto la SOC 2 como la ISO - ¿se acuerdan? - son normas reconocidas a nivel internacional que exigen una auditoría independiente por parte de un tercero. La Diferencia entre ISO 27001 y SOC 2 es que el SOC 2 se utiliza principalmente en los Estados Unidos y no se traduce en una certificación, sino en un informe de pruebas.
Una sociedad con licencia CPA confirma que los controles internos generales relativos a los sistemas informáticos están en marcha para garantizar el servicio prestado a los clientes.
Criterios de los servicios fiduciarios
Los requisitos se basan en cinco TSC. Estos criterios son la seguridad, la disponibilidad, la integridad de la elaboración, la seguridad y la privacidad. Garantías:
- Sicurezza se refiere a la protección de la información y de los sistemas de acceso no autorizados.
- Disponibilidadla infraestructura, el software o la información se mantienen y disponen de controles para el funcionamiento, la supervisión y el mantenimiento.
- Integridad del proceso asegúrese de que los sistemas funcionan según lo previsto. Además, si se producen errores, fallos, omisiones o manipulaciones no autorizadas o involuntarias.
- La riservatezza sobre la capacidad de la empresa para proteger los datos. Puede limitarse a un grupo específico de personas u organizaciones.
- Criterios de privacidad se refiere a la capacidad de una organización para salvaguardar la información de identificación personal de accesos no autorizados.
¿A quién se aplica el SOC 2?
Se aplica a cualquier proveedor de servicios tecnológicos o empresa SaaS que gestione o memorice los datos de sus clientes. También los proveedores de terceras partes, los demás socios o las organizaciones de apoyo que colaboran con estas organizaciones deben mantener esta conformidad para garantizar la integridad de sus sistemas y la protección de sus datos.
¿Por qué? Además de ser una buena norma, SOC 2 es una forma increíble para que las organizaciones demuestren a sus clientes y a otras partes interesadas que se preocupan por proteger sus datos. Los rigurosos requisitos de conformidad se comprueban durante la auditoría in situ
Esto garantiza que la información sensible se gestione de forma responsable. Esto puede suponer una ventaja competitiva para las empresas. La conformidad garantiza a los demás que la empresa dispone de la infraestructura, las herramientas y los procesos necesarios para proteger la información de accesos no autorizados.
Lo que también es digno de mención es que las organizaciones (que aplican los controles necesarios) tienen menos probabilidades de sufrir violaciones de los datos o de la privacidad de los usuarios. Esto puede tener efectos negativos, como acciones normativas y daños financieros o de reputación. Una ventaja para todos, ¿no?
Para confirmarlo, en la práctica, si tienes una conformidad SOC 2, debes saber que tu organización mantiene un alto nivel de seguridad de la información. Esto conlleva muchas ventajas frente a cualquier contratiempo, por lo que es un buen modo de solucionar este caso. ¡Woohoo!
