Evaluaciones de controles para proveedores de servicio

SOC 1 / SOC 2 / SOC 3

Las evaluaciones SOC (System and Organization Controls) son el estándar de referencia internacional para que los proveedores de servicios demuestren a sus clientes la efectividad de sus controles internos. Internet Security Auditors acompaña la preparación, el diseño de controles y la coordinación con auditores certificados.

SOC 1 / SSAE 18

Controles sobre información financiera (ICFR)

SOC 2 Tipo I

Diseño de controles en un momento determinado

SOC 2 Tipo II

Efectividad operacional durante un periodo de tiempo

SOC 3

Informe público de confianza para uso general

Trust Services Criteria

Seguridad · Disponibilidad · Integridad · Confidencialidad · Privacidad

El servicio

¿Qué son los informes SOC?

Los informes SOC (System and Organization Controls) son evaluaciones de terceros diseñadas para proporcionar a los clientes y usuarios de los servicios de una organización una garantía independiente sobre la efectividad de sus controles internos. Son el estándar más demandado internacionalmente por empresas tecnológicas, proveedores cloud, fintech y cualquier organización que preste servicios que afecten los sistemas de información de sus clientes.

Existen tres tipos principales, cada uno orientado a un uso y audiencia diferente:

SOC 1 — Controles sobre información financiera

SOC 1 (basado en SSAE 18 en EE.UU. o ISAE 3402 internacionalmente) evalúa los controles internos de una organización de servicios que son relevantes para los controles de información financiera de sus clientes usuarios. Es obligatorio para procesadores de nóminas, administradores de fondos, proveedores de servicios de préstamo y cualquier organización que preste servicios que afecten los estados financieros de sus clientes.

Existen dos subtipos: Tipo I (diseño de controles en una fecha determinada) y Tipo II (diseño y efectividad operacional durante un período mínimo de seis meses).

SOC 2 — Confianza en sistemas y datos

SOC 2 evalúa los controles de una organización de servicios relevantes para los Trust Services Criteria del AICPA: Seguridad, Disponibilidad, Integridad del procesamiento, Confidencialidad y Privacidad. Es el informe más demandado por empresas SaaS, proveedores cloud e infraestructuras digitales que necesitan demostrar a sus clientes empresariales que sus datos están protegidos.

SOC 2 Tipo I: evalúa si los controles han sido diseñados apropiadamente en una fecha determinada. Punto de partida habitual para organizaciones que inician el proceso.

SOC 2 Tipo II: evalúa si los controles han operado efectivamente durante un período de tiempo (habitualmente 6 o 12 meses). Es el informe con mayor valor de mercado.

SOC 3 — Informe público de confianza

SOC 3 es una versión pública y resumida del SOC 2 diseñada para distribución general. No contiene los detalles técnicos del SOC 2, pero proporciona un sello de confianza que las organizaciones pueden publicar en su web o compartir libremente con cualquier parte interesada.

Nuestro servicio de preparación SOC

Internet Security Auditors acompaña a los proveedores de servicio en todo el proceso previo a la auditoría formal: análisis de alcance y selección de Trust Services Criteria aplicables, evaluación del estado actual de controles, diseño e implementación de los controles requeridos, y preparación para la auditoría con una firma CPA certificada. También coordinamos la relación con los auditores y apoyamos en la respuesta a los hallazgos durante el proceso.

Nuestros servicios

Cómo trabajamos

01Definición de alcance y objetivos

Selección de Trust Services Criteria aplicables, definición del sistema en alcance y determinación del tipo de informe (Tipo I o Tipo II).

02Readiness Assessment

Evaluación del estado actual de controles mediante entrevistas, revisión de documentación y pruebas técnicas. Informe de brechas con priorización.

03Diseño e implementación de controles

Definición de los controles necesarios, asignación de responsables, evidencias requeridas y calendario de implementación.

04Periodo de observación (Tipo II)

Durante el periodo de observación (mínimo 6 meses), soporte continuo en la operación de controles y generación de evidencias.

05Auditoría y emisión del informe

Coordinación de la auditoría formal con firma CPA. Respuesta a solicitudes y acompañamiento hasta la emisión del informe SOC.

Servicios Relacionados

Regulación Europea, Cumplimiento & Privacidad Sistemas de Gestión de Seguridad Estrategia & Gobierno de Seguridad Gobierno & Seguridad de la IA

Alcance del servicio

Qué engloba este servicio

Análisis de alcance

Determinación del alcance del informe, selección de Trust Services Criteria y criterios de diseño del sistema de controles.

Readiness Assessment

Evaluación del estado actual de controles frente a los criterios SOC aplicables. Identificación de brechas y plan de remediación.

Diseño de controles

Definición e implementación de los controles necesarios para cumplir con los Trust Services Criteria seleccionados.

Coordinación de auditoría

Acompañamiento durante el proceso de auditoría con firma CPA certificada. Respuesta a solicitudes de evidencia y hallazgos.

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a la norma ISO/IEC 27001:2022, la realización de auditorías internas y el proceso de certificación en PCI DSS ha sido fundamental para fortalecer nuestro sistema de gestión de seguridad de la información.

Ricardo Andrés Cárdenas Galvis

Of. Seguridad de la Información · Neurona

El apoyo estratégico de Internet Security Auditors como CISOaaS ha sido fundamental para reforzar nuestro equipo interno. Su experiencia complementa perfectamente el trabajo de nuestro CISO y nos ha permitido avanzar más rápido en la madurez de nuestra ciberseguridad.

CISO

RACC

En nombre de Outsourcing SAS BIC, queremos expresar nuestro agradecimiento por el compromiso y dedicación durante la implementación del cumplimiento PCI DSS en nuestro call center. Logramos establecer un entorno seguro conforme con los requisitos más exigentes de la industria de pagos.

Yulian Colmenares

Of. Seguridad de la Información · Outsourcing SAS BIC

Trabajar con Internet Security Auditors ha sido una experiencia positiva en todos los sentidos. Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

Andrés Mejía

Head of GRC · Payválida

Como CFO de Saint Louis University – Madrid Campus, he tenido la oportunidad de trabajar con Internet Security Auditors. Han sido nuestro socio indispensable para la implementación de los requisitos marcados por la normativa de RGPD. Me gustaría destacar su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles…

Victoria Villarreal Palazón

Vice-Rector & Associate VP CFO · Saint Louis University

Como CFO de Fleurop - Interflora España trabajamos con Internet Security Auditors desde hace años en el ámbito de consultoría y cumplimiento de RGPD. Siendo Interflora una compañía 100% orientada al comercio online, los servicios profesionales de Internet Security Auditors nos dan soporte, seguridad y tranquilidad de que toda nuestra actividad está alineada con el cumplimiento de RGPD.

Francisco Tébar Prada

CFO Southern Europe · Fleurop - Interflora España

Como CISO en Intaremit S.A. la importancia que le damos a la seguridad lógica es muy alta. Ya no solo por el mero hecho de que la normativa PCI-CPP nos exija 4 escaneos de vulnerabilidad internos y externos y un pen-test interno y externo anual; si no también por la propia seguridad y tranquilidad que nuestra compañía quiere brindar a todos y cada uno de sus clientes. Llevamos más de 10 años trabajando y colaborando con Internet Security Auditors por su experiencia, compromiso y cercanía; por lo que lo recomiendo sin dudarlo.

Sergio Sainz de la Maza

CISO · Intaremit

En Grupo Arbulu, hemos colaborado estrechamente con Internet Security Auditors en la implementación de medidas de ciberseguridad avanzadas. Gracias a su experiencia, hemos mejorado significativamente nuestra capacidad para detectar y mitigar riesgos cibernéticos. Las auditorías exhaustivas y las soluciones personalizadas han fortalecido nuestra infraestructura de seguridad, asegurando la protección de nuestros datos y la continuidad de nuestras operaciones.

Marcos Montes de Oca

CIO · Grupo Arbulu

Como CEO de Beruby hemos trabajado con Internet Security Auditors cuando tuvimos que realizar de forma urgente un Attestation of Compliance de PCI DSS. Todo el proceso fue extremadamente rápido, eficiente y profesional. Su equipo nos brindó un soporte excelente, demostrando gran conocimiento técnico y compromiso. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

Miguel Acosta

Global CEO · Beruby

En Grupo AR, valoramos altamente el servicio de protección de marca de Internet Security Auditors por tener un enfoque integral y proactivo. Su equipo de trabajo, altamente calificado, nos permite identificar y mitigar aquellos riesgos que pueden afectar la marca de AR Construcciones y sus diferentes empresas.

Nestor Ivan Melo Ballen

Director de Ciberseguridad · Grupo AR

FAQ

Preguntas frecuentes

¿Qué son los informes SOC?

¿Qué diferencia hay entre SOC 2 Tipo I y Tipo II?

SOC 2 Tipo I evalúa si los controles han sido diseñados apropiadamente en una fecha determinada. SOC 2 Tipo II evalúa si los controles han operado efectivamente durante un período de tiempo (habitualmente 6 o 12 meses). Es el informe con mayor valor de mercado.

¿Qué es un SOC 3?

¿Cuándo es obligatorio un SOC 1?

Es obligatorio para procesadores de nóminas, administradores de fondos, proveedores de servicios de préstamo y cualquier organización que preste servicios que afecten los estados financieros de sus clientes.

¿Qué incluye el servicio de preparación SOC?

Todo el proceso previo a la auditoría formal: análisis de alcance y selección de Trust Services Criteria aplicables, evaluación del estado actual de controles, diseño e implementación de los controles requeridos, y preparación para la auditoría con una firma CPA certificada. También coordinamos la relación con los auditores y apoyamos en la respuesta a los hallazgos durante el proceso.

Contacto

¿Necesita más información sobre este servicio?

Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.

Teléfono

+34 93 305 13 18

Correo

info@isecauditors.com

Oficinas

Barcelona, Madrid, Bogotá

Ricardo Andrés Cárdenas

Hace 2 meses

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a ISO/IEC 27001:2022 y el proceso de certificación PCI DSS ha sido fundamental para fortalecer nuestro SGSI.

Andrés Mejía

Hace 3 meses

Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

Victoria Villarreal Palazón

Hace 4 meses

Han sido nuestro socio indispensable para la implementación de los requisitos de RGPD. Destacaría su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles.

Miguel Acosta

Hace 5 meses

Todo el proceso de Attestation of Compliance de PCI DSS fue extremadamente rápido, eficiente y profesional. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

Sergio Sainz de la Maza

Hace 6 meses

Llevamos más de 10 años trabajando con Internet Security Auditors por su experiencia, compromiso y cercanía. Los recomiendo sin dudarlo.

Solicitar información

Soy una persona

Nombre

Apellidos

Teléfono de contacto

Correo corporativo

Empresa

País

Servicio de interés

Cuéntanos qué necesitas

He leído y acepto la política de privacidad. Deseo recibir información sobre servicios y publicaciones de Internet Security Auditors. Nos pondremos en contacto contigo lo antes posible.

Presencia Global