Uso de Informes SOC 2 para Proteger tus Comunicaciones de Datos de Archivos y Correos Electrónicos
Los informes SOC 2 son una excelente manera de identificar qué tan bien una organización protege los datos de sus clientes. Pero crear un informe puede no ser tan fácil como piensas.
¿Qué es SOC 2?
SOC 2 (Controles del Sistema y la Organización 2) es un tipo de proceso de auditoría que evalúa los controles de una organización de servicios relacionados con la seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. El informe SOC 2 es emitido por un auditor independiente después de una evaluación del entorno de control de la organización. Las organizaciones pueden someterse a una auditoría SOC 2 para demostrar su compromiso con la seguridad de los datos y el cumplimiento de los requisitos normativos. Los informes SOC 2 son comúnmente utilizados por proveedores de servicios en la nube, empresas de Software como Servicio (SaaS) y otros proveedores de servicios para asegurar a los clientes y partes interesadas que están gestionando los riesgos de manera efectiva.
¿Quién necesita un informe SOC 2?
Las organizaciones que necesitan un informe SOC 2 incluyen proveedores de servicios en la nube, proveedores de SaaS y organizaciones que almacenan información de clientes en la nube. Un informe SOC 2 demuestra que los datos de un cliente están protegidos y se mantienen privados de usuarios no autorizados.
¿Qué es un informe SOC?
Los informes SOC verifican una auditoría de controles de seguridad para superficies clave de ataque. Ninguna industria en particular requiere estos informes, pero a menudo son requeridos por empresas en servicios financieros, incluyendo banca, inversión, seguros y seguridad. Así que, si eres un proveedor de servicios técnicos (o estás contratando a uno), hay una buena posibilidad de que un cliente o socio comercial requiera una auditoría SOC.
Dentro del marco de Controles del Sistema y la Organización, hay tres tipos diferentes de informes:
1. Tipos de informes SOC: SOC 1 vs. SOC 2 vs. SOC 3
SOC 1, 2 y 3 se refieren a los informes de Controles del Sistema y la Organización (SOC) desarrollados por el Instituto Americano de Contadores Públicos Certificados (AICPA).
El informe SOC 1 se centra en los controles internos relacionados con el proceso de reporte financiero, con un énfasis específico en los controles que impactan los estados financieros de una empresa. Describe los controles de seguridad implementados por una organización relacionados con el reporte financiero. Estos informes, también conocidos como la Declaración sobre Normas para Compromisos de Atestación (SSAE) 18, demuestran que la organización tiene los procesos de negocio y la infraestructura técnica para reportar adecuadamente las finanzas. Dentro de la atestación SOC 1, hay dos tipos de informes:
- SOC 1 Tipo I: Describe los controles de reporte y auditoría en su lugar y cómo ayudan a lograr los objetivos de reporte requeridos
- SOC 1 Tipo II: Describe los controles de reporte y auditoría en su lugar, pero también incluye una auditoría de la efectividad operativa de la organización o su capacidad para cumplir con los objetivos de reporte y control
Un informe SOC 2 demuestra que los controles de una organización cumplen con el AICPA y sus criterios de Servicio de Confianza (ver abajo). El informe SOC 2 está diseñado para evaluar los controles internos asociados con los sistemas que componen las operaciones y la seguridad de una empresa. Proporciona información sobre la efectividad de los controles en su lugar relacionados con la confidencialidad, privacidad y seguridad de los sistemas de la empresa. El informe SOC 2 está diseñado para evaluar los controles internos asociados con los sistemas que componen las operaciones y la seguridad de una empresa. Proporciona información sobre la efectividad de los controles en su lugar relacionados con la confidencialidad, privacidad y seguridad de los sistemas de la empresa.
Un informe SOC 2 es, con mucho, el informe más común cuando se trata de seguridad y confidencialidad de datos, y el que probablemente verás referenciado en términos de cumplimiento con controles de privacidad de datos generalmente aceptados. Una certificación SOC 2 proporciona una capa adicional de seguridad y confianza con tus clientes o socios. Muchos proveedores de servicios en industrias como servicios financieros, atención médica y contratación gubernamental, por lo tanto, buscan auditorías SOC 2, incluso si no son requeridas.
El informe SOC 3 es una versión pública del informe SOC 2. Un informe SOC 3 resume un informe SOC 2, pero se centra en una audiencia más general (como las partes interesadas de la empresa) en lugar de una técnica. Este informe es un subconjunto del informe SOC 2 y está destinado para uso público. Proporciona la seguridad de que los sistemas de la empresa cumplen con ciertos estándares de seguridad, privacidad y confidencialidad, pero no contiene detalles específicos o resultados de la evaluación.
2. SOC 2 Tipo II: Lo último en cumplimiento SOC
El cumplimiento SOC 2 Tipo II proporciona un nivel más alto de seguridad que otros tipos de cumplimiento SOC. El cumplimiento SOC 2 Tipo II requiere una auditoría independiente que evalúe los controles internos de la organización durante un mínimo de seis meses. Esta auditoría cubre no solo la tecnología y los procesos dentro de la organización, sino también las políticas de la organización que cubren seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. La auditoría evaluará si estos controles están operando efectivamente durante el período de tiempo y proporcionará seguridad de que los controles están cumpliendo con los objetivos declarados de la organización. También proporciona seguridad a los clientes y otras partes interesadas de que la organización está tomando medidas apropiadas para proteger sus datos. SOC 2 Tipo II es el tipo más completo de cumplimiento SOC y proporciona el nivel más alto de seguridad para las organizaciones.
Los informes SOC 2 demuestran los extensos controles de seguridad y reporte que un proveedor de TI tiene en su lugar para proteger datos confidenciales. Los requisitos SOC están basados en los cinco criterios de Servicio de Confianza:
1. Privacidad en SOC 2
Cómo se recopilan, utilizan, retienen y divulgan los datos como parte de su uso por una organización.
2. Confidencialidad en SOC 2
Los datos designados como confidenciales permanecen confidenciales durante su uso por una organización.
3. Seguridad en SOC 2
Los datos están protegidos contra acceso no autorizado, robo, violación o divulgación, también llamado el “criterio común”.
4. Integridad del Procesamiento en SOC 2
Todos los sistemas de procesamiento de datos son completos, válidos, precisos y oportunos según las necesidades de una organización.
5. Disponibilidad en SOC 2
Los datos son visibles y están listos para usarse como parte de los procesos de un negocio.
Estos criterios abordan diferentes formas de controles de seguridad, y una atestación es una demostración de que la organización implementa esos controles.
No todos los informes SOC 2 abordan o atestiguan todos estos criterios. Cada criterio, sin embargo, habla de la completitud y rigor del sistema de TI de una organización (en relación con ese criterio específico). Los criterios de seguridad son, con mucho, los más auditados, particularmente para la atestación por primera vez.
Además, los informes SOC 2 vienen en dos tipos diferentes:
- El Tipo I proporciona una “instantánea” del sistema de una organización en relación con un momento específico, esencialmente una fecha “a partir de” que atestigua el cumplimiento.
- El Tipo II ofrece un informe más detallado que involucra un examen exhaustivo de los controles de seguridad, políticas internas y procedimientos durante un período de tiempo. Los informes Tipo II a menudo se consideran una forma más completa de atestación.
¿Cuál es el alcance del informe SOC 2 Tipo II?
El alcance de un informe SOC 2 Tipo II se centra en cómo está diseñado y operado el sistema de una organización de servicios para cumplir con los principios y criterios de servicio de confianza aplicables. Estos principios y criterios están relacionados con la seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad de los datos del cliente. Un informe SOC 2 Tipo II proporciona un examen detallado del diseño y operación de los controles que la organización de servicios ha implementado para proteger los datos del cliente. La organización de servicios debe demostrar que los controles están diseñados adecuadamente y operan efectivamente para cumplir con los criterios de servicio de confianza.
Es importante señalar que los informes SOC 2 Tipo II no están destinados a reemplazar otros servicios de auditoría o aseguramiento, como auditorías tradicionales de sistemas y/o financieras, pruebas de penetración o evaluaciones de vulnerabilidad. En cambio, complementan estos servicios con un enfoque en los controles y operación de los sistemas de información de una organización de servicios. Esto proporciona seguridad de que la organización de servicios está adhiriéndose a los principios y criterios de servicio de confianza y ayuda a garantizar la seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad de los datos del cliente.
El proceso para obtener la certificación SOC 2
Aquí tienes una lista rápida y sencilla para las organizaciones que quieren o necesitan obtener la certificación SOC 2:
1. Comprender los requisitos de SOC 2
Familiarízate con los estándares y criterios de los Criterios de Servicios de Confianza (TSC) para el cumplimiento SOC 2.
2. Completar una preevaluación de SOC 2
Realiza una auditoría o revisión independiente de tus políticas, procedimientos y otras áreas relevantes para el cumplimiento SOC 2.
3. Desarrollar un plan de acción de SOC 2
Crea una hoja de ruta para lograr el cumplimiento SOC 2, que debe incluir todos los pasos necesarios y cronogramas.
4. Implementar un marco de auditoría de SOC 2
Desarrolla y mantén un sistema de políticas y procedimientos consistentes con los requisitos del TSC. Esto incluye una evaluación de riesgos de la tecnología utilizada, una revisión de configuraciones de seguridad y la implementación de cualquier cambio necesario.
5. Someterse a una auditoría SOC 2
Esto generalmente es realizado por una firma de auditoría independiente de terceros. La auditoría revisará tus controles y procesos y, en última instancia, determinará si estás cumpliendo con los criterios para el cumplimiento SOC 2.
6. Monitorear y mantener el cumplimiento de SOC 2
Revisa y actualiza regularmente tus controles y procesos del sistema para asegurarte de que sigan cumpliendo con los estándares SOC 2.
¿Cuánto tiempo es válido un informe SOC 2 Tipo II?
Un informe SOC 2 Tipo II es válido por un año desde la fecha en que se emite, siempre que no haya cambios significativos en el sistema o procedimientos examinados. Es importante señalar que el informe solo se aplica a los componentes y procesos específicos evaluados durante el alcance de la auditoría, y no es un respaldo general de la postura de seguridad general de una organización. Para mantener la validez del informe, las organizaciones deben asegurarse de que todos los controles evaluados como parte de la auditoría sigan siendo efectivos durante el transcurso del año. Si se realizan cambios en el sistema o procedimientos examinados, se requiere un informe actualizado para reflejar esos cambios.
¿Qué es una auditoría SOC 2 Tipo II?
Una auditoría SOC 2 Tipo II es una revisión detallada de los controles y procesos de una organización de servicios relacionados con la seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad de un sistema. Es más específica y enfocada que una auditoría Tipo I y puede involucrar múltiples ubicaciones, procesos y sistemas. La auditoría cubre un período de al menos seis meses, permitiendo al auditor revisar los detalles de la organización de servicios durante ese marco de tiempo. Además, el auditor evaluará el diseño y la efectividad operativa de los controles en su lugar.
Mejores prácticas para el cumplimiento SOC 2
Es importante determinar el alcance de la auditoría de antemano. No todos los negocios o contratos comerciales requieren adherirse a cada uno de los Criterios de Confianza (aunque la Seguridad es la más utilizada). Si no entiendes el alcance o las necesidades de una auditoría, tu organización puede desperdiciar tiempo y recursos valiosos persiguiendo atestaciones que no son necesarias.
Es imperativo, obviamente, que entiendas tu infraestructura técnica antes de embarcarte en una auditoría. Si, por ejemplo, no estás utilizando software compatible, entonces naturalmente necesitarás actualizar. Si estás utilizando una plataforma de terceros o un producto SaaS, esas soluciones deben ser compatibles.
Sin embargo, puede que nunca necesites una atestación SOC 2. Una empresa de TI que trabaja en atención médica, por ejemplo, debe cumplir con los requisitos de HIPAA y estos pueden ser suficientes. Las Entidades Cubiertas (CE) como hospitales o compañías de seguros pueden, no obstante, requerir una auditoría SOC para asegurar un nivel adicional de escrutinio en tus sistemas de seguridad. Lo mismo podría decirse de una empresa de servicios financieros que maneja información de pago. Aunque pueden cumplir con los requisitos del Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS), también pueden optar por someterse a auditorías SOC 2 para obtener credibilidad adicional.
Kiteworks Red de Contenido Privado Certificada SOC 2
Para organizaciones que requieren comunicaciones de contenido sensible que estén certificadas SOC 2, Kiteworks es una excelente opción. Kiteworks ha recibido la certificación SOC 2 durante seis años consecutivos y cuenta con varios otros logros de cumplimiento, como la Autorización FedRAMP para Impacto de Nivel Moderado, ISO 27001, 27017 y 27018, Cyber Essentials Plus, y el Programa de Evaluadores Registrados de Infosec (IRAP) EVALUADO contra controles de nivel PROTEGIDO.
Uno de los factores clave que contribuye a la certificación SOC 2 de Kiteworks es el uso de un dispositivo virtual reforzado que envuelve su Red de Contenido Privado. El dispositivo virtual reforzado de Kiteworks emplea múltiples capas de seguridad, incluyendo firewalls, sistemas de detección y prevención de intrusiones, y protección de endpoints, para reducir las explotaciones de vulnerabilidades y la severidad del impacto de los ciberataques. Kiteworks también cumple con los rigurosos estándares de cumplimiento SOC 2 en las cinco categorías establecidas por el AICPA: Seguridad, Disponibilidad, Integridad del Procesamiento, Confidencialidad y Privacidad.
Se implementan medidas de seguridad para garantizar que la plataforma esté protegida contra accesos no autorizados, y se monitorea y audita continuamente para detectar cualquier actividad sospechosa. La disponibilidad está garantizada 24/7/365, y la plataforma cuenta con integridad de procesamiento que es completa, precisa, oportuna y autorizada. La información confidencial está protegida, y la información personal se trata con el máximo cuidado y de acuerdo con las directrices del AICPA y CICA.
Además de los estrictos estándares de cumplimiento SOC 2, Kiteworks también emplea monitoreo y reporte continuo para proteger los datos de los clientes. Esto incluye visibilidad del almacenamiento de contenido, acceso y uso, así como reportes detallados y auditables. La protección de datos de Kiteworks también se valida a través de certificaciones de cumplimiento SOC 2 y evaluaciones externas periódicas según SAS 70 Tipo II.
Las organizaciones que buscan aprender más sobre la Red de Contenido Privado de Kiteworks pueden programar una demostración personalizada hoy.