SOC 2: preguntas frecuentes

El Type 1 suele llevar de 3 a 6 meses desde el inicio hasta el informe, según la madurez de los procesos. El Type 2 añade un periodo de observación de 3–12 meses (lo más habitual, 6) durante el cual los controles deben operar de forma continua.

Dos componentes: la preparación (BALTUM) y la auditoría (firma CPA). El honorario de auditoría se fija a partir de cinco datos: número de empleados, naturaleza del servicio, infraestructura, tipos de datos, tipo de informe y categorías TSC. Como orientación, una auditoría Type 1 para una empresa pequeña va desde unos pocos miles hasta ~20k USD; el Type 2 es más caro. Rellene el formulario para obtener una cifra exacta.

Únicamente una firma CPA licenciada (EE. UU.). El grupo BALTUM cuenta con su propia firma CPA registrada en EE. UU. con auditores CPA licenciados: realiza el examen y firma el informe. La preparación la presta un equipo de consultoría independiente para preservar la independencia del auditor.

Sí. Si los controles llevan varios meses operando, puede ir directamente al Type 2. Muchas empresas obtienen primero el Type 1 para cerrar una operación y el Type 2 seis meses después.

Sí. Todos los servicios están disponibles por separado: certificación ISO 27001 por el organismo acreditado, un paquete GDPR, Cyber Essentials o el cumplimiento de NIS2. Los paquetes simplemente ahorran tiempo y presupuesto gracias a los controles compartidos.

Depende de sus clientes. Los compradores estadounidenses suelen pedir SOC 2; los europeos, ISO 27001. Las normas se solapan en un 70–80 % aproximadamente, por lo que la segunda resulta mucho más económica que la primera.

AWS, Google Cloud, Azure, Hetzner, DigitalOcean, además de entornos híbridos y on-premise. Los controles heredados del proveedor de nube se reflejan en la matriz de responsabilidades.

SOC 1 cubre los controles relevantes para la información financiera de un cliente (p. ej., procesadores de pagos). SOC 2 trata sobre la seguridad y la privacidad de los datos. SOC 3 es una versión pública resumida de SOC 2 sin los detalles de las pruebas.

Trust Services Criteria (criterios de servicios de confianza): cinco categorías del AICPA: seguridad (obligatoria), disponibilidad, integridad del procesamiento, confidencialidad y privacidad. La empresa elige cuáles incluir en el alcance.

Sí. El informe lo emite la firma CPA del grupo BALTUM registrada en EE. UU. a través de auditores CPA licenciados conforme a las normas del AICPA (SSAE 18 / AT-C 205). Es el único requisito para su reconocimiento.

No. La auditoría es remota: videollamadas, acceso de solo lectura a los sistemas y evidencias a través de un portal seguro.

El informe SOC 2 está en inglés. Las políticas y los procedimientos pueden estar en inglés o en su idioma local (alemán, español, portugués, polaco y otros); para la auditoría se requiere una versión en inglés.

Sí. La forma jurídica y el país de registro no afectan a SOC 2. Trabajamos con empresas de la UE, el Reino Unido, Suiza, los Balcanes occidentales, Ucrania y otros países; el contrato se firma con Baltum Büroo OÜ (Estonia).

Una bridge letter (carta puente) es una carta de la dirección que cubre el intervalo entre el final del periodo de un informe Type 2 y la fecha actual (normalmente hasta 3 meses) y confirma que no ha habido cambios significativos en los controles.