Control de acceso
Las altas, los cambios de puesto y las bajas se gestionan siempre de la misma manera, los accesos se revisan periódicamente y los derechos de administrador se mantienen separados.
Para proveedores de servicios a quienes se les pide SOC 2
Listos para su auditoría SOC 2Controles que resisten la auditoría
Un informe SOC 2 demuestra a sus clientes que sus controles de seguridad y protección de datos funcionan. Lo emite una firma independiente de contadores públicos certificados (CPA). Le ayudamos a prepararse: implementamos los controles técnicos, reunimos la evidencia y nos aseguramos de que sus sistemas funcionen como lo indican sus políticas.
Qué es un informe SOC 2
SOC 2 es un informe de atestación conforme a las normas del American Institute of CPAs (AICPA). Una firma de CPA con licencia examina cómo una organización de servicios protege los sistemas que usa para atender a sus clientes e informa al respecto. No es una certificación, y no existe un sello SOC 2 que una organización posea. El informe se entrega a sus clientes, por lo general bajo un acuerdo de confidencialidad.
La referencia son los Trust Services Criteria del AICPA. La seguridad siempre está incluida. Según lo que necesiten sus clientes, puede agregar disponibilidad, integridad del procesamiento, confidencialidad y privacidad.
Type I y Type II
| Type I | Evalúa si sus controles están diseñados adecuadamente en un momento determinado |
| Type II | Evalúa si sus controles funcionaron eficazmente durante un período, por lo general de 3 a 12 meses |
| Quién emite el informe | Una firma de CPA con licencia, independiente de usted y de nosotros |
| Lo que suelen esperar los clientes | Un informe Type II, renovado cada año |
Muchas empresas comienzan con un informe Type I y luego pasan al Type II. Su auditor le asesorará sobre el alcance y los plazos.
Dónde se fijan más los auditores
Autenticación
MFA para todos los usuarios, inicio de sesión único cuando sea posible y excepciones documentadas.
Gestión de cambios
Los cambios en los sistemas se solicitan, se aprueban, se prueban y son rastreables.
Monitoreo y registros
Los eventos de seguridad se registran, las alertas llegan a alguien y la revisión queda documentada.
Respaldo y recuperación
Las copias de respaldo se ejecutan según lo programado y las pruebas de restauración quedan documentadas.
Gestión de proveedores
Usted sabe qué proveedores procesan datos de clientes y revisa sus informes de seguridad.
Un camino típico hacia el primer informe
- 01
Revisión de preparación
Comparamos su TI con los Trust Services Criteria incluidos en el alcance y enumeramos las brechas. Esto suele tomar unas pocas semanas.
- 02
Cierre de brechas
Implementamos los controles técnicos, como MFA, administración de dispositivos, registros y copias de respaldo. Según su punto de partida, esto toma de dos a cuatro meses aproximadamente.
- 03
Type I o inicio del período de observación
Su firma de CPA prueba el diseño de los controles, o comienza el período de observación para el Type II.
- 04
Informe Type II
Después del período de observación, el auditor verifica si los controles funcionaron durante todo ese tiempo. Mientras tanto, mantenemos en orden los sistemas y la evidencia.
Evidencia que preparamos para su auditor
- Listas de usuarios con funciones y fechas de las revisiones de acceso
- Configuración de MFA y contraseñas de todos los sistemas incluidos en el alcance
- Registros de altas y bajas de personal
- Informes de parches y vulnerabilidades
- Registros de copias de respaldo y pruebas de restauración documentadas
- Registros de cambios en la infraestructura y la configuración
- Un inventario de los sistemas, dispositivos y servicios en la nube incluidos en el alcance
Lo que hacemos y lo que no hacemos
Preparamos su TI e implementamos los controles técnicos. No emitimos informes SOC 2 ni tenemos uno propio. El informe siempre proviene de una firma de CPA independiente que usted contrata. Con gusto trabajamos con la firma que usted elija.
Experiencia en control de acceso a gran escala
Logística, internacional · más de 10,000 usuarios, Alemania
Reemplazo de una solución existente de gestión de identidad y acceso junto con un proveedor de servicios contratado. Asesoramos, dirigimos el proyecto, realizamos la implementación y establecimos los procesos entre el cliente y el proveedor.
Resultado: La mesa de ayuda trabaja más rápido gracias a permisos ampliados, los procesos de identidad se ejecutan automáticamente y los datos maestros de recursos humanos están depurados.
Actualizado:
FAQ
Preguntas frecuentes
¿SOC 2 es una certificación?
No. SOC 2 es un informe de atestación que emite una firma de CPA independiente conforme a las normas del AICPA. El auditor emite una opinión sobre sus controles. No hay un certificado, y nadie está "certificado en SOC 2" en sentido formal.
¿Cuál es la diferencia entre Type I y Type II?
Un informe Type I evalúa si sus controles están diseñados adecuadamente en un momento determinado. Un informe Type II además verifica si funcionaron eficazmente durante un período, por lo general de 3 a 12 meses. La mayoría de los clientes pide el Type II.
¿Cuánto tiempo toma obtener un informe SOC 2?
Depende de su punto de partida. Cerrar las brechas suele tomar de dos a cuatro meses. Un informe Type I puede llegar poco después. Para un informe Type II se suma el período de observación, por lo general de 3 a 12 meses, de modo que el primer informe Type II suele llegar de 6 a 12 meses o más después de comenzar.
¿Puede FNLY IT emitir nuestro informe SOC 2?
No. Solo una firma de CPA con licencia puede emitir un informe SOC 2. Nosotros preparamos su TI, implementamos los controles técnicos y reunimos la evidencia que solicita el auditor.
¿Qué Trust Services Criteria necesitamos?
La seguridad siempre está incluida en el alcance. Agregar disponibilidad, integridad del procesamiento, confidencialidad o privacidad depende de lo que usted promete a sus clientes. Su auditor le ayudará a definir el alcance, y nosotros le explicamos qué implica cada opción para su TI.
¿Un informe SOC 2 reemplaza los cuestionarios de seguridad?
A menudo, en parte. Muchos clientes aceptan un informe SOC 2 Type II vigente en lugar de un cuestionario extenso o solo hacen algunas preguntas adicionales. No elimina todas las solicitudes, pero ahorra mucho trabajo repetitivo.
SOC 2
Hablemos de sus planes de SOC 2
Díganos quién le pide el informe y cómo está configurada su TI hoy. Le diremos qué brechas vemos y cuánto tiempo tomará probablemente la preparación.