Cómo prepararse para una auditoría SOC 2 sin detenerse
Los clientes más grandes piden un informe SOC 2 antes de lo que la mayoría de los equipos espera. La preparación consiste sobre todo en poner por escrito lo que ya hace y cumplirlo de forma constante.
Tarde o temprano, la revisión de seguridad de un cliente más grande solicita un informe SOC 2. Para una pequeña empresa de software, eso puede parecer un obstáculo insuperable. En la práctica, prepararse es un proyecto como cualquier otro: un alcance definido, una lista de controles y pruebas de que se cumplen.
Qué es un informe SOC 2
Un informe SOC 2 lo elabora una firma independiente de CPA tras examinar sus controles frente a los Trust Services Criteria. La seguridad siempre se incluye; la disponibilidad, la confidencialidad, la integridad del procesamiento y la privacidad se añaden cuando son relevantes para sus clientes.
Existen dos tipos. Un informe Type I evalúa si sus controles están bien diseñados en un momento puntual. Un informe Type II evalúa si realmente funcionaron a lo largo de un período, a menudo de tres a doce meses. Muchos clientes piden Type II, pero un Type I puede ser un primer paso útil mientras transcurre el período de observación.
Solo la firma auditora puede emitir el informe. La preparación, que es donde ayudamos nosotros, abarca todo lo anterior: implementar los controles y ordenar las evidencias.
Empiece por el alcance
Decida qué producto, qué sistemas y qué personas entran en el alcance. Un alcance acotado es más fácil de controlar y explicar. Dibuje el sistema: por dónde entran los datos de los clientes, dónde se almacenan y quién o qué puede acceder a ellos.
Ponga por escrito lo que ya hace
La mayoría de los equipos ya hacen bien muchas cosas, de manera informal: revisión de código, copias de seguridad, retirada de accesos cuando alguien se va. La preparación convierte eso en políticas breves por escrito y pasos repetibles. Mantenga las políticas lo bastante cortas como para que el equipo las cumpla de verdad.
Resuelva las deficiencias habituales
Las deficiencias que vemos con más frecuencia en equipos pequeños:
- cuentas compartidas o personales con acceso de administrador, sin inicio de sesión único ni autenticación multifactor obligatoria
- falta de revisión periódica de quién tiene acceso a qué
- cambios que llegan a producción sin una revisión registrada
- copias de seguridad que nunca se han probado restaurando datos
- ningún plan por escrito ante incidentes de seguridad
- proveedores con datos de clientes a los que nadie hace seguimiento
Cada una se puede resolver en cuestión de días, no de meses.
Recopile evidencias sobre la marcha
El auditor le pedirá hechos, no palabras: tickets, registros de revisión, listas de accesos, capturas de pantalla de la configuración. Automatizar la recopilación de evidencias, con las herramientas que ya utiliza o mediante una plataforma de cumplimiento, evita que la auditoría sea un caos.
Siga entregando producto
La preparación no debería congelar la hoja de ruta. La mayoría de los controles encajan con la forma en que ya trabaja un equipo sano, y los buenos controles hacen que los lanzamientos sean más seguros, no más lentos. Planifique el trabajo en tareas pequeñas en paralelo al desarrollo del producto y fije una fecha realista para el período de auditoría.