¿Qué diferencia hay entre un informe SOC 2 Tipo 1 y uno Tipo 2?

Un informe Tipo 1 analiza si los controles están adecuadamente diseñados e implantados en una fecha concreta; un informe Tipo 2 comprueba además si funcionaron eficazmente durante un periodo, normalmente varios meses. El Tipo 1 responde a «¿tiene los controles correctos en esta fecha?» y el Tipo 2 a «¿funcionaron de verdad todo el tiempo?», por eso los clientes que dependen de un proveedor suelen preferirlo. Un Tipo 2 requiere pruebas reunidas durante todo el periodo: revisiones de accesos hechas a tiempo, cambios aprobados antes de su puesta en producción, incidentes gestionados según el procedimiento, alertas de vigilancia revisadas. Muchas empresas empiezan por un Tipo 1 para ajustar el diseño y luego operan los controles y reúnen pruebas para un Tipo 2. Al leer cualquiera de los dos, revise las fechas, el alcance, los criterios cubiertos y cada excepción que señale el auditor, y pregunte cómo se corrigió. NetSenX dice claramente su situación: el SOCSOC: security operations centre (centro de operaciones de seguridad). Un equipo, a menudo activo las 24 horas, que vigila los ataques y responde a ellos. 2 Tipo I está en preparación, no se ha emitido ningún informe SOC 2 de ningún tipo, y el Tipo II llegaría cuando los controles hayan funcionado durante un periodo.

← Las 15 preguntas sobre Normas de seguridad: ISO 27001, SOC 2Todos los temas