¿Qué es SOC 2 y por qué lo piden los clientes?

SOCSOC: security operations centre (centro de operaciones de seguridad). Un equipo, a menudo activo las 24 horas, que vigila los ataques y responde a ellos. 2 es un informe de atestación, definido por el AICPA, el organismo profesional de los auditores estadounidenses, en el que un auditor independiente examina los controles de una organización de servicios frente a los Trust Services Criteria. La seguridad siempre está incluida; se pueden añadir disponibilidad, integridad del procesamiento, confidencialidad y privacidad. El informe describe el sistema, los controles que declara la empresa, las pruebas del auditor y las excepciones encontradas, y normalmente se comparte con los clientes bajo un acuerdo de confidencialidad. Los clientes, sobre todo en Norteamérica, lo piden porque les permite apoyarse en una revisión independiente en lugar de auditar ellos mismos a cada proveedor. No es una certificación ni tiene nota de aprobado: se lee la opinión del auditor, el alcance y las excepciones. Cuando un proveedor le envíe uno, revise el periodo cubierto, qué servicios y sedes entran en el alcance, qué criterios se incluyeron y qué controles complementarios se espera que usted aplique por su parte. NetSenX no tiene hoy un informe SOC 2; el SOC 2 Tipo I está en preparación.

← Las 15 preguntas sobre Normas de seguridad: ISO 27001, SOC 2Todos los temas