- Experiencia en seguridad de la información
- +7 años
- Certificaciones implantadas
Tu informe SOC 2 para vender tu SaaS en EE. UU., sin quitarle tiempo a tu equipo.
Hacemos casi todo el trabajo y te acompañamos hasta que la firma CPA emite el informe.
Quiero mi plan
Llamada de 20 min · Te llevas tu hoja de ruta, aunque no trabajes con nosotros
- Implantador y auditor ISO 27001 certificados
- Tipo I y Tipo II
- Sin software ni licencias nuevas
- Si el informe no sale limpio a la primera, seguimos gratis
Informe SOC 2 · AICPA
Tipo I o Tipo II
- Tipo IEn una fecha concreta
- Diseño de los controlesY descripción del sistema.
- Tipo IIDurante un periodo
- Diseño y eficacia de los controlesCon las pruebas del auditor.
- Quién lo firmaEn los dos tipos
- Una firma CPA independienteCon licencia.
- Precio
- Cerrado
- Si el informe no sale limpio
- Seguimos gratis
El problema
Sin informe SOC 2, muchas ventas en EE. UU. esperan.
En EE. UU., la revisión de seguridad de un proveedor de software suele empezar por el informe SOC 2.
Compras · Cliente de EE. UU.Para: ti · 09:14
Contrato en pausa
Revisión de seguridad: falta documentación
Hola:
Para cerrar el alta, nuestro equipo de seguridad pide: «Please share your latest SOC 2 Type II report».
vendor_security_review.xlsxCuestionario de seguridad
- Informe SOC 2 Tipo II recientePendiente
- ¿Qué subproveedores tratan los datos?Pendiente
Qué es SOC 2
¿Qué es el informe SOC 2 y quién lo emite?
SOC 2 no es un certificado: es un informe de atestación del American Institute of Certified Public Accountants (AICPA), en el que una firma CPA independiente y con licencia opina sobre tus controles. Lo que se busca como «certificación SOC 2» es ese informe, como recuerda el propio AICPA.
Según la guía SOC 2 del AICPA, el Tipo I cubre el diseño de los controles en una fecha y el Tipo II, también su eficacia en un periodo. Los criterios de Seguridad (CC1 a CC9) entran siempre.
Lee también qué hacer cuando un cliente te pide un certificado o un informe de seguridad.
Cómo funciona
Tu informe SOC 2 en cuatro pasos
-
Al empezar
Análisis inicial
Tipo I o II, criterios y qué te falta.
-
Después
Plan para tu cliente
Alcance y un plan para enseñar a tu cliente.
-
Durante la preparación
Controles y evidencias
Políticas, controles y evidencias, junto al CTO.
-
Al final
Examen e informe
Una firma CPA independiente examina tus controles y emite el informe con su opinión.
Tus opciones
Hay 4 formas de prepararte para el SOC 2.
Hacerlo vosotros, con software de compliance, con una consultora por horas o con Briblo, que cuesta menos que una consultora tradicional y no te ata a licencias anuales.
| Hacerlo vosotros | Software de compliance | Consultora por horas | Briblo | |
|---|---|---|---|---|
| ¿Quién hace el trabajo? | Tu equipo | Tu equipo | Tu equipo, guiado | Nosotros |
| Precio | Horas de tu equipo | Licencia cada año | Por horas | Cerrado |
| Software y licencias | Las que ya usáis | Una plataforma más | Según la consultora | Código abierto o las vuestras |
| Si el informe no sale limpio | Lo corregís vosotros | Te toca a ti | Más horas | Seguimos gratis |
Qué incluye
El trabajo lo hacemos nosotros
Incluye toda la preparación, del alcance al examen de la firma CPA.
Lo hace Briblo
Casi todo
Alcance, controles, evidencias y examen.
- Alcance y criteriosSeguridad siempre; el resto, según tus contratos.
- Descripción del sistemaCon los criterios DC 200 y lo que cubren tus proveedores cloud.
- Políticas y controlesDe cada criterio.
- Análisis de riesgosHecho por nosotros.
- Evidencias del periodoEn el Tipo II.
- Formación y concienciaciónPara toda la plantilla.
- Revisión previa (readiness)Antes del examen.
- Elección de la firma CPACon licencia y en el peer review del AICPA.
- Coordinación del examenHasta el informe.
- Si ya tienes la ISO 27001Partimos de tu SGSI y del mapeo oficial del AICPA.
Lo hace tu equipo
Lo mínimo
Validar y aplicar.
- Cambios técnicosGuiados por nosotros.
- Revisión de documentosValidáis lo que redactamos.
- SeguimientoPeriódico, con nosotros.
Reserva una llamada
Llamada de 20 min · Te llevas tu hoja de ruta
Implantador y auditor certificados
Somos ingenieros que saben cómo funciona una startup SaaS.
Hemos sido CTOs, hemos pasado la ISO 27001 desde dentro y hemos respondido cuestionarios de seguridad para empresas del IBEX 35. Estamos certificados por PECB, entidad internacional acreditada que certifica a profesionales ISO. No somos una firma CPA: el informe SOC 2 lo firma siempre una firma CPA independiente.
- Experiencia en seguridad de la información
- 4 años
- Certificaciones conseguidas
Garantía
Si el informe no sale limpio a la primera, seguimos gratis.
Si la opinión de la firma CPA no es limpia, seguimos trabajando contigo sin coste hasta dejar tus controles listos para el siguiente examen. La opinión la decide siempre la firma CPA, de forma independiente.
- Precio
- Cerrado en la primera llamada
- Si el informe no sale limpio
- Seguimos gratis
Preguntas frecuentes
Si tienes otra duda, la resolvemos en la llamada.
¿SOC 2 es una certificación?
No. Es un informe de atestación: una firma CPA independiente examina tus controles y da su opinión. No hay certificado.
¿Qué diferencia hay entre SOC 2 Tipo I y Tipo II?
El Tipo I evalúa el diseño de los controles en una fecha. El Tipo II, también su eficacia en un periodo; la guía del AICPA considera que menos de dos meses no suele bastar.
¿Quién emite el informe SOC 2?
Una firma CPA independiente, con licencia e inscrita en el peer review del AICPA. Briblo no lo emite ni lo firma.
¿Qué criterios entran en un informe SOC 2?
Seguridad (criterios comunes CC1 a CC9), siempre. Disponibilidad, integridad del procesamiento, confidencialidad y privacidad, según tu servicio.
Si tengo la ISO 27001, ¿ya tengo SOC 2?
No. La ISO 27001 certifica un sistema de gestión; SOC 2 es un informe sobre tus controles. Aun así, mucho se reaprovecha (el AICPA publica un mapeo oficial). Qué se reaprovecha y cuál hacer primero lo explicamos en la guía ISO 27001 vs SOC 2: diferencias y cuál necesitas.
¿Puedo publicar el informe SOC 2 en mi web?
No. Es de uso restringido: se comparte con clientes, normalmente bajo NDA. El que sí puedes publicar es el SOC 3.
¿Cada cuánto se renueva el informe SOC 2?
Lo habitual es cada año: el AICPA insiste en repetir el examen porque los sistemas cambian.
¿Cuánto cuesta?
Depende del tipo, del alcance y de lo que ya tengas hecho. En la primera llamada te damos un precio cerrado.
¿Qué pasa si el informe no sale limpio?
Si la opinión de la firma CPA no es limpia, seguimos trabajando contigo sin coste hasta dejar tus controles listos para el siguiente examen. La opinión la decide siempre la firma CPA, de forma independiente.
Reserva 20 minutos. Sal con tu plan.
Revisamos qué tienes hecho y qué te pide tu cliente. Te llevas:
- Tipo I o Tipo II, y qué criterios necesitas
- Qué te falta para el examen
- Un precio cerrado, sin sorpresas
Gratis, y es tuyo aunque no trabajes con nosotros.
Hablas con Jordi o Eduard.
Si el calendario no carga, ábrelo en una pestaña nueva.