SOC 2 Tipo I o Tipo II: cuál hacer primero y cuánto cuesta de verdad

El primer cliente grande te pide el informe SOC 2, no lo tienes y el ciclo de venta se para. Así empieza casi todo proyecto de SOC 2, lo que significa que la pregunta real no es "qué informe es mejor" sino "cuál desbloquea antes la operación sin desperdiciar el trabajo".

La diferencia en una línea

Un informe Tipo I dice que los controles estaban diseñados adecuadamente y en su sitio en una fecha concreta. Un informe Tipo II dice que los controles operaron eficazmente durante un periodo, normalmente de tres a doce meses.

El Tipo I es una fotografía. Dice que el extintor estaba en la pared el 30 de septiembre. El Tipo II es una película: dice que el extintor estuvo en la pared todos los días durante seis meses, que se revisó cada mes, y qué pasó el día que alguien lo descolgó.

Los compradores conocen la diferencia. Un Tipo I satisface a un departamento de compras que necesita marcar una casilla. Una revisión de seguridad en un banco o en una plataforma SaaS grande aceptará un Tipo I una vez, con el compromiso de un Tipo II al año siguiente, y luego pedirá el Tipo II.

Cuándo el Tipo I es la decisión correcta

El Tipo I se gana su sitio cuando hay una operación bloqueada ahora y la alternativa es esperar seis meses. Puedes estar listo para auditoría en unos dos o tres meses desde cero, y el informe llega semanas después de la fecha de observación, no después de un periodo de observación.

Es además un forzador genuinamente útil. El análisis de brecha y la remediación del Tipo I son el mismo trabajo que necesita el Tipo II; no lo estás tirando. Y pasar una auditoría una vez elimina mucha incertidumbre sobre qué va a pedir el auditor.

El coste de hacer el Tipo I es la tarifa de auditoría —significativa pero no enorme— más el hecho de que pagarás una segunda tarifa por el Tipo II dentro del mismo año.

Cuándo saltar directamente al Tipo II

Sáltate el Tipo I si no hay ninguna operación bloqueada este trimestre. La ventana de observación del Tipo II puede empezar en cuanto los controles estén en su sitio, así que la comparación útil no es "tres meses frente a nueve meses" sino "tres meses hasta un informe más débil frente a arrancar ya el reloj del que te van a pedir de todas formas".

Empieza con una ventana de observación de tres meses para el primer Tipo II y pasa después a doce meses anuales. Una ventana de tres meses te da un informe real antes; el auditor puede hacer constar que el periodo es corto, pero ningún comprador ha rechazado nunca un Tipo II de tres meses seguido de uno anual.

Elegir los Trust Services Criteria

Seguridad —los criterios comunes— es obligatorio. Los otros cuatro son opcionales y cada uno añade alcance, evidencia y coste:

• Disponibilidad: inclúyelo si vendes un SLA. La mayoría del SaaS B2B debería.
• Confidencialidad: inclúyelo si manejas datos de cliente bajo cláusulas contractuales de confidencialidad. La mayoría debería.
• Integridad del procesamiento: solo si procesas transacciones donde la corrección es el producto: pagos, nóminas, facturación.
• Privacidad: el más pesado. Solo si los clientes lo piden específicamente, y ten en cuenta que no es lo mismo que cumplir el RGPD ni lo sustituye.

Casi todas las empresas deberían hacer Seguridad, Disponibilidad y Confidencialidad. Añadir Privacidad a una primera auditoría porque suena riguroso es como un proyecto de seis meses se convierte en un año.

A dónde van de verdad el dinero y el tiempo

La tarifa de auditoría suele ser la mitad más pequeña. La mitad grande es:

El trabajo de preparación. Revisiones de acceso, registros de altas y bajas, evaluaciones de riesgo de proveedores, un análisis de riesgos, procedimientos de respuesta a incidentes que se hayan ejercitado y un proceso de gestión de cambios con evidencia. Casi todo esto existe de manera informal en una organización de ingeniería y hay que hacerlo visible.

La recogida de evidencia durante la ventana de observación. Esta es la parte que sorprende. Por cada mes de la ventana necesitas prueba de que los controles funcionaron: revisiones de acceso hechas, copias probadas, vulnerabilidades triadas dentro del plazo declarado, cambios aprobados. Recogerlo a mano al final no funciona, porque la evidencia tiene que estar fechada a lo largo del periodo. Planifica la recogida automatizada de evidencia antes de que se abra la ventana, no durante.

La remediación de ingeniería. Normalmente MFA en todas partes, logs centralizados con retención, bajas formales, cifrado en tránsito y en reposo, y una restauración documentada y probada.

Si ya tienes ISO 27001

El solape es grande —una estimación habitual lo sitúa en torno al 80 por ciento de los controles subyacentes— pero los informes no son intercambiables. ISO 27001 certifica un sistema de gestión contra una norma; SOC 2 es una atestación de una firma de auditoría sobre tus controles, escrita para los auditores de tus clientes. Los compradores europeos tienden a pedir ISO; los norteamericanos, SOC 2.

Si tienes uno y necesitas el otro, el hueco está sobre todo en el formato de la evidencia y en el requisito de SOC 2 de describir los controles con tus propias palabras y luego probarlos contra esa descripción. Son unos meses, no volver a empezar. Hacer los dos desde cero a la vez, con un conjunto de controles compartido y una tubería de evidencia compartida, sale más barato que hacerlos con un año de diferencia.