Comprender el cumplimiento de SoC 1, SOC 2 y SOC 3

El cumplimiento es un aspecto importante del crecimiento de su organización.

Supongamos que desea lanzar un negocio de SaaS y apuntar a clientes medianos. En este caso, debe cumplir con las reglas y regulaciones aplicables y proteger mejor a su empresa.

Muchas organizaciones intentan eludir estos requisitos aplicando cuestionarios de seguridad.

Entonces, cuando un cliente o cliente requiere la certificación SOC, se da cuenta de lo importante que es cumplir con los requisitos reglamentarios.

El cumplimiento de la organización de servicio (SOC) se refiere a un tipo de certificación en la que una organización realiza una auditoría de terceros que muestra ciertos controles que su organización tiene en su lugar. El cumplimiento de SOC también se aplica a la cadena de suministro y la ciberseguridad Soc.

En abril de 2010, el Instituto Americano de Contadores Públicos Certificados (AICPA) anunció cambios en SAS 70. El nuevo estándar de auditoría aclarado y nuevo se llama Declaración sobre Normas para los compromisos de certificación (SSAE 16).

Junto con la auditoría SSAE 16, también se han creado otros tres informes para examinar los controles de una organización de servicio. Estos se llaman informes SOC y contienen tres informes: Soc 1, SOC 2 y SOC 3 informes con diferentes objetivos.

En este artículo, discutiré cada informe de SOC, dónde aplicarlos y cómo encajan en la seguridad de TI.

¿Qué es un informe SOC?

Los informes SOC pueden considerarse una ventaja competitiva que beneficia a una organización en términos de dinero y tiempo. Utiliza auditores de terceros e independientes para examinar varios aspectos de la organización, incluyendo:

• Accesibilidad
• Confidencialidad
• Confidencialidad
• Integridad del procesamiento
• Seguridad
• Controles relacionados con ciberseguridad
• Controles relacionados con la información financiera

Los informes de SOC permiten que una empresa confíe en que los proveedores de servicios potenciales están operando de manera compatible y ética. Si bien las auditorías pueden ser complejas, pueden proporcionar una tremenda seguridad y confianza. Los informes de SOC ayudan a establecer la fiabilidad y la confiabilidad de un proveedor de servicios.

Además, los informes SOC son útiles para:

• Programas de gestión de proveedores
• Supervisión de la organización
• Supervisión regulatoria
• Proceso de gestión de riesgos y gobierno corporativo interno

¿Por qué es necesario un informe SOC?

Varias organizaciones de servicios, como empresas de centros de datos, proveedores SaaS, servicios de crédito y procesadores de reclamos, deben aprobar la validación de SOC. Estas organizaciones necesitan almacenar datos financieros o datos confidenciales de sus clientes o usuarios.

Por lo tanto, cualquier empresa que brinde servicios a otras compañías o usuarios puede aprobar un cheque SOC. Un informe de SOC no solo le permite a sus clientes potenciales saber que la empresa es legítima, sino que también le expone las debilidades y debilidades de sus controles o clientes a través de procesos de evaluación.

¿Qué puede esperar de una evaluación SOC?

Antes de comenzar el proceso de evaluación SOC, debe determinar qué tipo de informe SOC necesita que mejor se adapte a su organización. A continuación, el proceso formal comenzará con una evaluación de preparación.

Las organizaciones de servicio se preparan para el examen identificando posibles banderas rojas, brechas, debilidades y más. De esta manera, la compañía puede comprender las opciones disponibles para abordar estas brechas y debilidades.

¿Quién puede realizar una auditoría de SOC?

Las auditorías SOC son realizadas por contadores públicos certificados independientes (CPA) o firmas de contabilidad.

La AICPA establece estándares profesionales diseñados para gobernar el trabajo de los auditores de SOC. Además, las organizaciones deben adherirse a ciertas pautas con respecto a la ejecución, planificación y supervisión.

Cada auditoría AICPA se revisa por pares. Las organizaciones o empresas de CPA también contratan a profesionales que no sean de PPA con TI y habilidades de seguridad para prepararse para la auditoría SOC. Pero el informe final debe ser revisado y revelado por el CPA.

Veamos cada informe por separado para comprender cómo funcionan.

¿Qué es Soc 1?

El propósito principal de SOC 1 es controlar los objetivos en los documentos SOC 1 y manejar áreas de control interno que son relevantes para la auditoría de los estados financieros de la organización de usuarios.

En pocas palabras, le dice cuándo los servicios de una organización afectan los estados financieros del usuario.

¿Qué es un informe SoC 1?

Un informe SoC 1 define los controles de la organización de servicio aplicable al control de la entidad de usuario sobre la información financiera. Está diseñado para satisfacer las necesidades de las entidades de usuario. Al hacerlo, los contadores evalúan la efectividad del control interno de la organización de servicio.

Hay dos tipos de informes de SoC 1:

• SOC 1 Tipo 1: este informe generalmente se enfoca en el sistema de la organización de servicios y verifica la idoneidad de los controles del sistema para lograr los objetivos de control junto con una descripción a partir de una fecha específica.

Los informes SOC 1 Tipo 1 son solo para auditores, gerentes y usuarios, generalmente proveedores de servicios que pertenecen a cualquier organización de servicios. El auditor de la organización de servicios determina el informe que cubre todos los requisitos de ISPC 16.

• SOC 1, Tipo 2: Este informe contiene las mismas opiniones y análisis que el informe SOC 1, Tipo 1. Pero incluye opiniones sobre la efectividad de controles predeterminados diseñados para lograr todos los objetivos de control durante un período específico.

En un informe SOC 1 Tipo 2, los objetivos de control conducen a riesgos potenciales que el control interno desea mitigar. El alcance incluye áreas de control relevantes y ofrece una seguridad razonable. También establece que existe una limitación para realizar solo acciones autorizadas y apropiadas.

¿Cuál es el propósito del SOC 1?

Como mencionamos, SOC 1 es la primera parte de la serie Controles de organizaciones de servicios, que aborda el control interno en los informes financieros. Es aplicable a empresas que interactúan directamente con datos financieros de socios y clientes.

Así, asegura que la organización interactúe almacenando y transmitiendo los estados financieros de los usuarios. Sin embargo, el informe SOC 1 ayuda a los inversores, clientes, auditores y la gerencia a evaluar el control interno sobre los informes financieros de acuerdo con las pautas de AICPA.

¿Cómo mantengo el cumplimiento de SOC 1?

El cumplimiento de SOC 1 define el proceso para administrar todos los controles SOC 1 agregados al informe SOC 1 durante un período determinado. Garantiza que las reglas de SOC 1 funcionen de manera efectiva.

Los controles suelen ser controles de TI, controles de procesos comerciales, etc., que se utilizan para proporcionar una seguridad razonable basada en los objetivos de control.

¿Qué es SOC 2?

El SOC 2, desarrollado por AICPA, describe los criterios para controlar o administrar la información del cliente con base en 5 principios para brindar servicios confiables: Estos principios son:

• La disponibilidad incluye recuperación ante desastres, gestión de incidentes de seguridad y supervisión del rendimiento.
• Privacidad: incluye cifrado, autenticación de dos factores (2FA) y control de acceso.
• Seguridad: incluye detección de intrusos, autenticación de dos factores y firewalls de red o aplicación.
• Privacidad: incluye control de acceso, cifrado y firewalls de aplicación.
• Integridad del procesamiento: incluye monitoreo de procesamiento y garantía de calidad.

SOC 2 es exclusivo de cada organización debido a sus estrictos requisitos, a diferencia de PCI DSS. De acuerdo con las prácticas comerciales definidas, cada proyecto tiene sus propios controles para cumplir con múltiples principios de confianza.

¿Qué es un informe SoC 2?

Un informe SoC 2 permite a las organizaciones de servicio obtener y compartir un informe con las partes interesadas para describir lo general; Controla que son seguros en su lugar.

Hay dos tipos de informes SoC 2:

• SOC 2 Tipo 1: describe los sistemas del proveedor e informa si el diseño del proveedor cumple con los principios de confianza.
• SoC 2 Tipo 2: proporciona información sobre la efectividad operativa de los sistemas del proveedor.

SoC 2 difiere de una organización a otra con respecto a las estructuras y estándares de seguridad de la información porque no hay requisitos definidos. La AICPA proporciona criterios que la organización de servicios selecciona para demostrar los controles que utilizan para proteger los servicios ofrecidos.

¿Cuál es el propósito de SoC 2?

El cumplimiento de SoC 2 indica que una organización controla y mantiene un alto nivel de seguridad de la información. El cumplimiento estricto permite a las organizaciones garantizar la seguridad de la información crítica.

Al cumplir con SoC 2, obtienes:

• Prácticas de seguridad de datos mejoradas por las cuales la organización se protege de los ataques cibernéticos y las violaciones de seguridad.
• Una ventaja competitiva ya que los clientes desean trabajar con proveedores de servicios con prácticas de seguridad de datos sólidas, especialmente para los servicios de nubes y TI.

Limita el uso no autorizado de los datos y los activos con los que trabaja una organización. Los principios de seguridad requieren que las organizaciones agregen controles de acceso para proteger los datos de ataques maliciosos, mal uso, divulgación no autorizada o alteración de la información de la empresa, y la eliminación de datos no autorizada.

¿Cómo garantizo el cumplimiento de SOC 2?

El cumplimiento de SOC 2 es un estándar voluntario desarrollado por AICPA que define cómo una organización administra la información sobre sus clientes. El estándar se describe mediante los cinco criterios de servicios confiables, es decir, seguridad, integridad de procesamiento, confidencialidad, privacidad y disponibilidad.

El cumplimiento de SOC se adapta a las necesidades de cada organización. Dependiendo de las prácticas comerciales, una organización puede elegir controles de diseño para seguir uno o más de los principios de servicio confiable. Se aplica a todos los servicios, incluida la protección DDoS, equilibrio de carga, análisis de ataques, seguridad de aplicaciones web, entrega de contenido a través de CDN y más.

En pocas palabras, el cumplimiento de SOC 2 no es una lista descriptiva de herramientas, procesos o controles; en cambio, se refiere a la necesidad de criterios críticos para mantener la seguridad de la información. Esto permite que cada organización implemente mejores procesos y prácticas que se alineen con sus operaciones y objetivos.

La siguiente es una lista de verificación para el cumplimiento básico de SOC 2:

• Control de acceso
• Operaciones del sistema
• Mitigación de riesgos
• Gestión del cambio

¿Qué es SOC 3?

SOC 3 es un procedimiento de auditoría desarrollado por AICPA para determinar la solidez de los controles internos de una organización de servicios sobre los centros de datos y la seguridad informática en la nube. El marco SOC 3 también se basa en criterios de servicio de confianza, que incluyen:

• Seguridad: los sistemas y la información están protegidos contra la divulgación no autorizada, el acceso no autorizado y el daño a los sistemas.
• Integridad del proceso: el procesamiento del sistema es válido, preciso, autorizado, oportuno y completo para cumplir con los requisitos de la instalación.
• Accesibilidad: los sistemas y la información están disponibles para su uso y operación para satisfacer las necesidades de la instalación.
• Confidencialidad: la información personal se usa, divulga, elimina, retiene y recopila para cumplir con los requisitos de la organización.
• Confidencialidad: la información designada como crítica se protege según lo requiera la organización.

Con SOC 3, las organizaciones de servicios determinan cuál de estos criterios de servicios de confianza se aplican a los servicios que ofrecen a los clientes. También encontrará informes adicionales, requisitos de rendimiento y orientación de aplicación en las Disposiciones de las normas.

¿Qué es un informe SOC 3?

Los informes de SoC 3 contienen la misma información que los informes de SoC 2, pero difieren en términos de audiencia. El informe SoC 3 está destinado solo a una audiencia general. Estos informes son cortos y no contienen exactamente los mismos datos que un informe SOC 2. Están diseñados para las partes interesadas y una audiencia informada.

Debido a que el informe SoC 3 es de naturaleza más general, se puede publicar rápida y abiertamente en el sitio web de una empresa junto con un sello que describe su cumplimiento. Esto ayuda a mantener el ritmo de los estándares de contabilidad internacional.

Por ejemplo, AWS permite la descarga pública del informe SoC 3.

¿Cuál es el propósito de SOC 3?

Las empresas, especialmente las pequeñas o las nuevas empresas, generalmente no tienen recursos suficientes para monitorear o apoyar ciertos servicios principales internamente. Por lo tanto, estas compañías a menudo subcontratan los servicios a proveedores de terceros en lugar de invertir esfuerzo adicional o dinero para crear un nuevo departamento para estos servicios.

Por lo tanto, la subcontratación es la mejor opción, pero puede ser arriesgada. La razón es que la organización comparte datos del cliente o información confidencial con proveedores externos dependiendo de los servicios que la organización elija subcontratar.

Sin embargo, las organizaciones solo deben asociarse con proveedores que demuestren el cumplimiento de SOC 3.

El cumplimiento de SoC 3 se basa en la Sección 205 AT-C y la Sección 105 AT-C de ISPC 18. Incluye información clave de la narrativa de gestión independiente y el informe del auditor. Se aplica a todos los proveedores de servicios que almacenan información del cliente en la nube, incluidos los proveedores de PAAS, IaaS y SaaS.

¿Cómo aseguro el cumplimiento de SOC 3?

SOC 3 es una versión posterior de SOC 2, por lo que el procedimiento de auditoría es el mismo. Los auditores de servicio buscan las siguientes políticas y controles:

Después de completar la auditoría, el auditor genera un informe basado en los hallazgos. Pero el informe SoC 3 es mucho menos detallado, ya que solo contiene la información requerida por el público. La organización de servicios comparte libremente los hallazgos después de la auditoría final para fines de marketing. Sugerirá en qué debería centrarse para pasar la auditoría. Entonces, se aconseja a la organización de servicios:

• Seleccione cuidadosamente los controles.
• Realizar una evaluación para identificar brechas en los controles
• Identificar actividades regulares
• Describa los próximos pasos para informar incidentes
• Encuentre un auditor de servicio calificado para realizar una auditoría final

Ahora que tiene alguna idea de cada tipo de cumplimiento, desglosemos las diferencias entre ellos para ver cómo ayudan a cada empresa a permanecer en el mercado.

Soc 1, Soc 2, Soc 3: Las diferencias

La siguiente tabla describe el propósito y los beneficios de cada informe SOC.

SOC 1SOC 2SOC 3 Proporciona opiniones sobre el diseño del tipo 1 y el diseño u operación de tipo 2, incluidos los procedimientos y los resultados de las pruebas. Resultado único para cumplir con los requisitos de los socios para las operaciones de la organización, incluidos los resultados y los procedimientos. Similar al cumplimiento de SoC 2 pero contiene menos información. No incluye procedimientos de prueba, resultados o controles. Controla los requisitos necesarios para el control interno sobre la información financiera. Los controles no financieros se evalúan utilizando los cinco principios de confianza requeridos para el sujeto. También depende de los cinco servicios de confianza. Criterios. Distribución limitada a clientes y auditores. La distribución limitada a reguladores, clientes y auditores se definirá en el informe. Asistir con el marketing al cliente. La distribución ilimitada mantiene la transparencia en la descripción del sistema, el control, el procedimiento y los resultados. Proporciona un nivel de transparencia exactamente similar a la distribución sinlimitada de SoC 1 para los informes de marketing. Se centra en los controles financieros. Se centra en los controles operativos. Es similar a SOC 2 pero contiene menos información. Describe los sistemas de la organización de servicio. También describe los sistemas de la organización de servicios. sistema. Informa sobre controles internos. Reporta disponibilidad, confidencialidad, privacidad, confidencialidad, integridad de procesamiento y controles de seguridad. Es similar a SoC 2. Oficina

Conclusión

Para decidir qué cumplimiento SOC será el más apropiado para su organización, debe visualizar el tipo de información con la que está tratando, ya sean los datos de sus clientes o los suyos.

Si ofrece servicios de procesamiento de nómina, es posible que desee utilizar SOC 1. Si procesa o aloja los datos del cliente, es posible que necesite un informe SoC 2. Del mismo modo, si necesita un cumplimiento menos formal, que es el más adecuado para fines de marketing, es posible que desee utilizar un informe SoC 3.