Uno de los aspectos más cruciales de la preparación para tu auditoría SOC 2 es definir el alcance.
¿Por qué es importante definir correctamente el alcance de tu auditoría?
Si incluyes demasiado en tu auditoría, desperdicias tiempo y recursos implementando controles para riesgos que no existen en tu organización. Sin mencionar que la propia auditoría llevará más tiempo y costará más completarla.
Pero si el alcance de tu SOC 2 es demasiado estrecho, podrías estar pasando por alto riesgos de seguridad y dejando tu negocio vulnerable. Y no le estás dando a tus clientes la profundidad de garantía que necesitan para hacer negocios contigo.
Aquí hay algunas preguntas esenciales que pueden ayudarte a definir el alcance de una auditoría SOC 2.
¿Para qué servicio(s) necesitas obtener un SOC 2?
Algunas organizaciones eligen obtener un informe SOC 2 sobre un servicio específico.
Por ejemplo, Google tiene un SOC 2 para Google Workspace, otro para Google Cloud, etc. O puedes obtener un SOC 2 para el servicio de tu empresa en su totalidad.
En última instancia, depende de cuán diferentes sean los servicios de tu empresa.
¿Qué criterios de servicios de confianza se aplican a tu negocio?
Tu auditoría SOC 2 solo cubrirá los criterios de servicios de confianza que elijas incluir.
Decidir cuáles son relevantes puede ser complicado, especialmente para las empresas que no han pasado por el proceso de auditoría antes.
Para decidir si un TSC es relevante, pregúntate a ti mismo esta pregunta. Si no podemos garantizar que cumplimos con este TSC, ¿dañará fundamentalmente nuestra relación con nuestros clientes?
Si la respuesta es sí, ese TSC probablemente esté dentro del alcance de tu auditoría.
¿Qué sistemas, políticas y procedimientos respaldan tu TSC?
Estos sistemas y políticas son la base sobre la que construirás tus controles internos.
También son los detalles que tu auditor examinará al decidir si tu organización cumple con SOC 2. Necesitarás recopilar documentación y pruebas para respaldar cada uno.
¿Necesitas un informe Tipo I o Tipo II?
La mayoría de las veces, la decisión se reduce a la rapidez con la que necesita un informe SOC 2.
Los informes de Tipo I evalúan sus controles internos en un momento específico en el tiempo.
Los informes de Tipo II evalúan qué tan bien funcionan sus controles durante un período de tiempo prolongado.
Debido a la naturaleza de los diferentes tipos de informes, los informes de Tipo I pueden completarse mucho más rápido que los informes de Tipo II.
Si no puede esperar meses para implementar sistemas, un informe de Tipo I o un informe de Tipo II de 3 meses es probablemente la mejor opción para su empresa. Ir directamente por un informe de Tipo II es recomendable ya que más clientes están rechazando un informe de Tipo I. Si sus clientes incluyen empresas de finanzas o seguros, pueden requerir un informe de Tipo II para trabajar con usted.
