Para muchas empresas preocupadas por la seguridad que buscan un proveedor de SaaS, el cumplimiento de SOC 2 es un requisito mínimo. Desafortunadamente, muchos proveedores no están seguros de cómo implementar los requisitos de cumplimiento de SOC 2, ya que son inherentemente vagos.
En este artículo, descubriremos qué es SOC 2 y explicaremos los requisitos esenciales de cumplimiento de SOC 2 para que su empresa pueda hacer lo necesario para generar confianza con los auditores y los clientes por igual.
¿Qué es el cumplimiento de SOC 2?
El Control de Organización de Servicios (SOC) 2 es un conjunto de requisitos de cumplimiento y procesos de auditoría dirigidos a los proveedores de servicios de terceros. Fue desarrollado para ayudar a las empresas a determinar si sus socios comerciales y proveedores pueden gestionar los datos de forma segura y proteger los intereses y la privacidad de sus clientes.
El SOC 2 fue desarrollado por el Instituto Americano de Contadores Públicos Certificados (AICPA). Dentro de sus procedimientos, existen dos tipos de informes SOC 2:
- El SOC 2 Tipo 1 detalla los sistemas y controles que se tienen para el cumplimiento de la seguridad. Los auditores comprueban las pruebas y verifican si usted cumple con los principios de confianza pertinentes. Piense en ello como una verificación puntual de los controles.
- El SOC 2 Tipo 2 evalúa la eficacia de sus procesos a la hora de proporcionar el nivel deseado de seguridad y gestión de datos a lo largo de un periodo de tiempo.
- Controles de acceso lógico y físico: cómo se restringe y gestiona el acceso lógico y físico, para evitar cualquier acceso no autorizado
- Operaciones del sistema-Cómo gestiona sus operaciones del sistema para detectar y mitigar las desviaciones de los procedimientos establecidos
- Gestión de cambios-Cómo implementa un proceso de gestión de cambios controlado y evita los cambios no autorizados
- Mitigación de riesgos-Cómo identifica y desarrolla actividades de mitigación de riesgos cuando se trata de interrupciones del negocio y el uso de cualquier servicio de proveedores
¿Cuáles son los requisitos esenciales de cumplimiento del SOC 2?
El cumplimiento del SOC 2 se basa en criterios específicos para gestionar correctamente los datos de los clientes, que consisten en cinco categorías de servicios de confianza: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad.
La seguridad es el principio de base para el cumplimiento de SOC 2, que consiste en criterios amplios que son comunes a las cinco categorías de servicios de confianza.
El principio de seguridad se centra en la protección de los activos y los datos del servicio en el ámbito del cumplimiento de SOC 2 contra el uso no autorizado. Puede implementar controles de acceso para evitar ataques maliciosos o la eliminación no autorizada de datos, el uso indebido del software de la empresa, las alteraciones no sancionadas o la divulgación de información de la empresa.
Cuando se trata de seguridad, la lista de comprobación de cumplimiento SOC 2 más básica (que satisfará a un auditor) se detalla en el documento Trust Services Criteria for Security, Availability, Processing Integrity, Confidentiality, and Privacy, y debería abordar estos controles:
Algunos criterios SOC 2 son muy amplios y están más orientados a políticas, mientras que otros son técnicos, pero incluso los criterios técnicos no le dirán exactamente lo que tiene que hacer. Como tal, los criterios SOC 2 están en cierto modo abiertos a la interpretación. Depende de cada empresa lograr el objetivo de cada criterio mediante la aplicación de diversos controles. El documento Trust Services Criteria incluye varios «puntos de atención» para guiarte.
Por ejemplo, para cumplir con los criterios de Controles de Acceso Lógico y Físico, una empresa puede implementar nuevos procesos de onboarding, autenticación de dos factores y sistemas para evitar la descarga de datos de los clientes al realizar soporte, mientras que otra puede restringir el acceso a los centros de datos, realizar revisiones trimestrales de los permisos y auditar estrictamente lo que se hace en los sistemas de producción. Ninguna combinación es perfecta, ni siquiera se requiere específicamente. Lo que se requiere es lograr el estado final deseado por los criterios.
Cuando se abordan los criterios comunes mencionados, se cubren los principios de seguridad, que es el requisito mínimo para cumplir con la norma SOC 2.
¿Cuáles son los otros requisitos de cumplimiento de la norma SOC 2?
Con la seguridad cubierta, debería ser capaz de atraer negocios. Sin embargo, si opera en el sector financiero o bancario -o en cualquier industria en la que la privacidad y la confidencialidad sean primordiales-, entonces necesita alcanzar un nivel de cumplimiento más alto. Muchas empresas buscan proveedores que sean totalmente conformes, ya que esto infunde confianza y demuestra un compromiso para minimizar el riesgo.
Puede ir más allá de los principios básicos de seguridad para obtener el cumplimiento de criterios adicionales en las otras categorías de servicios de confianza que se indican a continuación.
Disponibilidad
El principio de disponibilidad se centra en la accesibilidad de su sistema, en el sentido de que usted supervisa y mantiene su infraestructura, software y datos para asegurarse de que tiene la capacidad de procesamiento y los componentes del sistema necesarios para cumplir sus objetivos empresariales.
Los requisitos de cumplimiento del SOC 2 en esta categoría incluyen:
- Medir el uso actual-Establecer una línea de base para la gestión de la capacidad, que puede utilizar para evaluar el riesgo de deterioro de la disponibilidad resultante de las restricciones de capacidad.
- Identificar las amenazas del entorno-Evaluar las amenazas del entorno que pueden afectar a la disponibilidad del sistema, como las condiciones meteorológicas adversas, los incendios, los cortes de energía o los fallos de los sistemas de control del entorno.
- Crear y mantener registros de las entradas del sistema-Compilar registros precisos de las actividades de entrada del sistema.
- Define las actividades de procesamiento-Define las actividades de procesamiento para asegurar que los productos o servicios cumplen con las especificaciones.
- Identificar la información confidencial: implementar procedimientos para identificar la información confidencial cuando se recibe o se crea, y determinar cuánto tiempo debe conservarse.
- Destruir la información confidencial-Implementar procedimientos para borrar la información confidencial después de identificarla para su destrucción.
- Utilizar un lenguaje claro y conspicuo: el lenguaje del aviso de privacidad de la empresa es claro y coherente, sin dejar lugar a malas interpretaciones.
- Recoger información de fuentes fiables-La empresa confirma que las fuentes de datos de terceros son fiables y opera su proceso de recogida de datos de forma justa y legal.
- Rastrear el estado de la configuración y la actividad de la red a nivel de host para las estaciones de trabajo y los puntos finales del servidor, así como supervisar la actividad a través de sus Amazon Web Services.
- Recuperar información sobre sus activos de TI para su auditoría SOC 2. Por ejemplo, puede utilizar Uptycs para analizar la actividad de la red en sus sistemas y asegurarse de que su cortafuegos está actuando como se espera.
- Realice una supervisión de la integridad de los archivos para implementar la segregación de funciones y detectar si se viola. Por ejemplo, si alguien con permiso de acceso al servidor desactiva las encriptaciones en una base de datos, puede rastrear esto casi en tiempo real.
Integridad del procesamiento
El principio de integridad del procesamiento se centra en la entrega de los datos correctos al precio correcto en el momento adecuado. El procesamiento de los datos no sólo debe ser oportuno y preciso, sino que también debe ser válido y autorizado.
Los requisitos de cumplimiento del SOC 2 en esta categoría incluyen:
Confidencialidad
El principio de confidencialidad se centra en restringir el acceso y la divulgación de datos privados para que sólo personas u organizaciones específicas puedan verlos. Los datos confidenciales pueden incluir información financiera sensible, planes de negocio, datos de clientes en general o propiedad intelectual.
Los requisitos de cumplimiento del SOC 2 en esta categoría incluyen:
Privacidad
El principio de privacidad se centra en la adhesión del sistema a las políticas de privacidad del cliente y a los principios de privacidad generalmente aceptados (GAPP) del AICPA. Esta categoría del SOC considera los métodos utilizados para recopilar, utilizar y retener la información personal, así como el proceso de divulgación y eliminación de datos.
Los requisitos de cumplimiento del SOC 2 en esta categoría incluyen:
¿Puede utilizar un software para acelerar el cumplimiento de la norma SOC 2?
La norma SOC 2 se centra principalmente en políticas y procesos, más que en tareas técnicas. Por lo tanto, no existe una herramienta dedicada y automatizada que pueda hacer que su empresa cumpla con la norma SOC 2 rápidamente.
Dado que los requisitos de la norma SOC 2 no son prescriptivos, debe diseñar procesos y controles estrictos para el cumplimiento de la norma SOC 2 y luego utilizar herramientas que faciliten la implementación de los controles. (¡Tuitee esto!) De esta manera, tendrá un sistema que supervise y le avise cada vez que falle un control técnico específico.
Por ejemplo, digamos que uno de sus controles pretende limitar el acceso a los sistemas Linux a unos pocos administradores específicos. Puede utilizar una herramienta para rastrear y recuperar el estado de los permisos en un sistema en tiempo real.
Para cada control que implemente, piense en las pruebas que presentaría a un auditor. Recuerde que tener un control es sólo una parte de los requisitos de cumplimiento de la norma SOC 2: también tiene que ser capaz de demostrar que está funcionando con eficacia.
Cómo puede ayudarle Uptycs a cumplir con la norma SOC 2
Uptycs es una solución de análisis de seguridad impulsada por osquery que le ayuda con la auditoría y el cumplimiento, ya que puede:
Además, con sus datos de inteligencia de amenazas incorporados, Uptycs actúa como un sistema de detección de intrusos para Mac, Linux y Windows, lo que le permite aprovechar la propia herramienta como uno de sus controles SOC 2.
Descubra más sobre cómo Uptycs puede ayudarle con los requisitos de auditoría y cumplimiento normativo viendo un breve vídeo de demostración o solicitando una prueba gratuita.