SOC 2 Tipo II: el andamiaje, no el trofeo

La mayoría persigue el sello. Lo cuelga en el sitio, lo mete en la propuesta, y sigue operando igual que antes. Ese es el error: SOC 2 no es un trofeo, es un andamiaje. Su valor real no está en el PDF que te entrega el auditor, sino en lo que te obliga a construir para llegar a él.

Déjame explicarte qué es y por qué lo veo así.

Qué es SOC 2, en concreto

SOC 2 es un marco de la AICPA (el colegio de contadores públicos de Estados Unidos) que evalúa cómo una empresa protege los datos que maneja. No es una lista de tecnología: es una evaluación de controles —procesos y políticas— organizados en cinco Trust Services Criteria (TSC):

• Security (obligatorio): protección contra acceso no autorizado.
• Availability: que el servicio esté disponible según lo comprometido.
• Processing Integrity: que el procesamiento sea completo y exacto.
• Confidentiality: protección de la información confidencial.
• Privacy: manejo de datos personales.

Eliges cuáles aplican a tu operación. Un proveedor de servicios administrados que hospeda infraestructura de sus clientes suele ir por Security + Availability + Confidentiality.

Tipo I vs. Tipo II: la diferencia que importa

Aquí está la parte que separa el sello del andamiaje:

• Tipo I dice que tus controles están bien diseñados en un momento. Es una foto. "En esta fecha, tenías las políticas en su lugar."
• Tipo II dice que tus controles operaron de forma efectiva durante un periodo —normalmente de 3 a 12 meses—. Es una película. "Durante estos meses, tus controles no solo existieron: funcionaron."

El Tipo I lo consigue cualquiera con un fin de semana de redacción. El Tipo II no se puede fingir: exige que durante meses revises accesos, atiendas incidentes según tu política, pruebes tus respaldos y dejes evidencia de cada uno. Por eso es el que tus clientes serios te van a pedir.

El andamiaje: 13 flancos que endureces

Para pasar un Tipo II tienes que construir y operar un cuerpo de políticas y procesos. Estos son los frentes:

1. Política maestra de seguridad de la información.
2. Control de acceso e identidad (mínimo privilegio, MFA, alta y baja de cuentas).
3. Gestión de cambios y ciclo de desarrollo.
4. Evaluación y gestión de riesgos, anual.
5. Gestión de terceros y proveedores.
6. Respuesta a incidentes.
7. Continuidad y recuperación ante desastres.
8. Clasificación y manejo de datos.
9. Criptografía (datos en reposo y en tránsito).
10. Logging y monitoreo.
11. Seguridad de recursos humanos (background checks, onboarding, awareness training).
12. Seguridad física.
13. Uso aceptable y retención de datos.

Léela de nuevo. Ninguno de esos trece es "trámite de auditoría": los trece son cosas que deberías estar haciendo bien de todos modos. SOC 2 solo te pone la fecha límite y el auditor que verifica que no te estás mintiendo. Ese es el andamiaje: la excusa formal para endurecer lo que la operación del día a día siempre pospone.

¿Qué evidencia se acumula durante el periodo de observación?

El Tipo II se gana con constancia, no con documentos. Durante los meses de observación, el auditor va a pedir muestras de que cada control operó cuando debía. Una operación típica genera evidencia con este ritmo:

• Cada vez que ocurre: altas y bajas de cuentas, con la baja aplicada el día que la persona sale; cambios a producción con su aprobación; incidentes atendidos según la política.
• Cada mes: revisión de alertas y registros, estado de parches y de vulnerabilidades.
• Cada trimestre: revisión de accesos a sistemas críticos, firmada por el dueño de cada sistema; prueba de restauración de respaldos.
• Cada año: evaluación de riesgos, revisión de proveedores críticos, capacitación de seguridad para todo el personal y revisión de políticas.

El auditor no revisa todo: toma muestras. Pero no sabes cuáles va a pedir, así que cada evento tiene que dejar evidencia.

¿Qué pasa si un control falla durante el periodo?

Esta es la duda que más frena a quien empieza, y la respuesta tranquiliza: un SOC 2 no es un examen de aprobado o reprobado. Si el auditor encuentra que un control no operó en algún caso, por ejemplo una baja que se aplicó una semana tarde, lo registra como una excepción en el reporte, junto con la respuesta de la empresa: qué pasó y qué se corrigió.

Unas pocas excepciones bien explicadas son normales. Lo que un cliente lee con preocupación son excepciones repetidas en el mismo control, o en controles críticos como accesos y respaldos. Por eso el andamiaje no termina al pasar la primera auditoría: el siguiente periodo empieza el día después.

Cuánto cuesta en tiempo

Con un equipo chico y una plataforma de automatización de evidencia, el camino a un primer reporte Tipo II corre alrededor de 6 a 8 meses: unas semanas para el diagnóstico de brechas, dos meses para levantar el andamiaje, el periodo de observación de 3 meses que exige el Tipo II, y la auditoría. No es un sprint; es un cambio de hábitos con testigo.

Por qué te conviene aunque nadie te lo pida

Si vendes servicios donde tocas datos o infraestructura de terceros, tarde o temprano un cliente grande te va a mandar un cuestionario de seguridad de 200 preguntas. Con un reporte Tipo II, respondes con un PDF en lugar de con tres semanas de llenar formularios. Dejas de convencer y empiezas a comprobar —el mismo principio con el que un cliente debería verificar si su proveedor le vende humo.

Y si tu negocio es la seguridad, el argumento se vuelve inevitable: un proveedor de seguridad sin su propia atestación le pide a su cliente algo que él mismo no hace. Es lo contrario de comer lo que le vendes.

El sello llega al final. Lo que te transforma es el andamiaje.