Cómo leer un SOC 2 o un certificado ISO sin llevarte un disgusto

Pasa más a menudo de lo que debería. Alguien de compras o de cumplimiento recibe de un proveedor un documento de decenas o cientos de páginas titulado «informe SOC 2», o una hoja de dos páginas con un sello que dice «certificado ISO 27001». Lo archiva como si fueran lo mismo y como si el simple hecho de tenerlo respondiera a la pregunta de si el proveedor es seguro.

No responde a esa pregunta. A veces la responde en parte. Y en algunos casos, una lectura descuidada lleva a suponer que el proveedor tiene un nivel de control que nadie ha verificado para el servicio que tú usas. Este artículo es una guía práctica para evitar ese error.

El informe SOC 2: estructura y lo que realmente debes leer

Los informes SOC 2 los elaboran auditores independientes acreditados según las normas del AICPA (American Institute of Certified Public Accountants). Evalúan si los controles de una organización de servicios cumplen los Trust Services Criteria: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. El más habitual se centra en seguridad, aunque cada proveedor decide qué criterios incluye.

Un informe SOC 2 tiene cinco secciones. La clave está en saber cuáles leer con detalle y cuáles sirven más de contexto.

La opinión del auditor es la primera sección y el dato más inmediato. Un informe con opinión no calificada («unqualified») significa que el auditor no encontró desviaciones significativas. Una opinión calificada («qualified») indica que hay áreas con reservas. Una opinión adversa («adverse») significa que los controles fallaron de forma relevante. Una abstención («disclaimer») indica que el auditor no pudo obtener información suficiente para emitir un juicio. La mayoría de los informes que circulan en procesos de due diligence tienen opinión no calificada, pero eso no cierra el análisis.

La descripción del sistema es la sección que debes leer con más cuidado. Describe qué sistemas, servicios, ubicaciones y flujos de datos entran en el alcance del informe. Aquí está la trampa más común: puede que el servicio que usa tu organización no esté incluido. Si el proveedor te ofrece un informe SOC 2 de su plataforma de gestión documental y tú usas su API de integración de datos, puede que lo que te importa quede fuera del alcance auditado. El primer filtro útil es leer la descripción del sistema con una pregunta concreta: «¿está dentro lo que yo uso?».

La sección de pruebas de controles es la más extensa. A veces ocupa dos tercios del documento y es la que más intimida si no conoces su estructura. Suele presentarse en una tabla: criterio, control del proveedor, procedimiento de prueba del auditor y resultado. Las excepciones aparecen en la columna de resultado. Una excepción no significa automáticamente que el proveedor sea inseguro, pero sí que un control concreto falló durante el periodo evaluado. Hay que leer qué control falló, cuántas veces y qué respondió el proveedor en la sección de información adicional.

Type I versus Type II: la diferencia que más importa

Antes incluso de abrir el contenido, hay una distinción básica que fija el peso probatorio del informe.

Un informe SOC 2 Type I evalúa si los controles del proveedor están bien diseñados en un momento concreto. Es una fotografía. El auditor visitó al proveedor, revisó la documentación de sus controles y declaró que, en esa fecha, los controles parecían adecuados para los objetivos declarados. No hay ninguna evidencia de que hayan funcionado a lo largo del tiempo.

Un informe SOC 2 Type II evalúa si esos controles funcionaron eficazmente durante un periodo determinado, normalmente seis o doce meses. Es una película, no una foto. El auditor probó su funcionamiento sobre transacciones reales del periodo. Un Type II de doce meses tiene bastante más valor probatorio.

En la evaluación de proveedores es un error frecuente aceptar un SOC 2 Type I como si fuera un Type II. El Type I es un primer paso razonable para proveedores nuevos, pero en los críticos lo que vale de verdad es el Type II. Comprueba también que el periodo cubierto no se haya quedado antiguo. Un Type II de hace dieciocho meses pesa mucho menos que uno reciente.

Mira también quién firmó el informe. Los informes SOC 2 tienen que emitirlos firmas de auditoría autorizadas por el AICPA. No vale cualquier consultora de seguridad. Si el emisor no es una firma de CPA reconocida, el documento no cumple las normas del marco.

El certificado ISO 27001: cuatro cosas que mirar antes de archivarlo

Un certificado ISO 27001 suele tener dos páginas. Lo importante está en unos pocos campos que conviene revisar con método.

El alcance es el dato más crítico y el que más se pasa por alto. El certificado cubre un SGSI en un ámbito que define la propia organización. Ese ámbito puede ser toda la empresa, una unidad de negocio, un servicio concreto o una ubicación determinada. Un proveedor puede tener la ISO 27001 para su plataforma de facturación electrónica y ninguna cobertura certificada para el servicio de almacenamiento de datos que usa tu organización. Es imprescindible comprobar que el alcance incluye el servicio o la infraestructura que importan en tu relación.

La validez y el ciclo de certificación son el segundo dato. ISO 27001 funciona con un ciclo de tres años: una auditoría inicial de certificación, auditorías de seguimiento en los años 1 y 2 y una auditoría de renovación el tercer año. Un certificado puede estar dentro de sus tres años con una auditoría de seguimiento vencida. En ese caso nadie ha verificado que el SGSI siga funcionando. Si el proveedor no puede demostrar que ha pasado los seguimientos anuales, el certificado vale menos de lo que sugiere su fecha de caducidad.

El organismo certificador y su acreditación son el tercer elemento. No todos los organismos que emiten certificados ISO 27001 tienen el mismo rigor ni la misma credibilidad ante clientes exigentes. En España, el organismo nacional de acreditación es ENAC (Entidad Nacional de Acreditación), equivalente a UKAS en el Reino Unido, a DAkkS en Alemania o a COFRAC en Francia. Todos son miembros del IAF (International Accreditation Forum) y sus acreditaciones se reconocen mutuamente. Un certificado de una entidad que no está acreditada por un miembro del IAF no pesa lo mismo. No tiene por qué ser falso, pero no ha pasado por la supervisión externa que asegura la coherencia de la auditoría. En los contratos con la Administración pública española, la acreditación ENAC del organismo certificador es relevante.

La verificación de autenticidad es el cuarto paso y el que más se omite. La mayoría de los organismos certificadores acreditados tienen registros públicos en su web donde puedes comprobar si un certificado está vigente con el número de serie que aparece en el documento. ENAC publica en su web el directorio de certificados de los organismos que acredita. UKAS tiene uno parecido. Dedicar treinta segundos a buscar el número de certificado en el registro del emisor es la única forma de confirmar que el documento que tienes corresponde a una certificación real y activa.

Lo que ninguno de los dos documentos responde por sí solo

El informe SOC 2 y el certificado ISO 27001 prueban que, en un momento y para un alcance determinados, los controles de un proveedor cumplían ciertos criterios. No garantizan que lo sigan haciendo hoy. No cubren todos los riesgos de la relación. Y no sustituyen tu juicio sobre si ese proveedor, para el uso concreto que hace tu organización de su servicio, tiene el nivel de control adecuado.

Un proveedor con ISO 27001 cuyo alcance no incluye el servicio que usas te sirve para la evaluación lo mismo que uno sin certificar. Un SOC 2 Type II con varias excepciones en controles relevantes para tu tipo de datos pide una conversación con el proveedor, no un hueco en la carpeta de due diligence. Y un certificado ISO 27001 de una entidad sin acreditación reconocida tiene menos valor probatorio ante auditores y reguladores.

Leer estos documentos con criterio, sin suspicacia pero con la misma atención que dedicarías a cualquier dato técnico relevante, es una de las competencias que separan a los equipos de cumplimiento y ciberseguridad que gestionan riesgo de los que solo gestionan papeles.