Cuando un cliente pide "tu SOC 2", no está preguntando por tu centro de operaciones de seguridad. Está pidiendo un informe de auditoría independiente, emitido según las normas del AICPA, la asociación estadounidense de contadores públicos certificados. Aquí, SOC significa System and Organization Controls. Son tres informes con públicos distintos, y pedir el equivocado retrasa la contratación sin reducir el riesgo.
Los tres informes lado a lado
| Informe | Qué evalúa | Para quién | Distribución |
|---|---|---|---|
| SOC 1 | Controles del proveedor que afectan los informes financieros de los clientes | Clientes y sus auditores contables | Restringida |
| SOC 2 | Controles vinculados a seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad | Clientes, socios y reguladores que necesitan detalle técnico | Restringida, normalmente bajo acuerdo de confidencialidad |
| SOC 3 | Las mismas categorías del SOC 2, con menos detalle | Público general | Libre |
SOC 1: cuando el servicio afecta los estados financieros del cliente
El SOC 1 examina controles de un proveedor que probablemente son relevantes para el control interno sobre los informes financieros de los clientes. El caso típico es quien procesa nómina, facturación o transacciones. El informe atiende a las empresas contratantes y a los auditores de sus estados financieros.
Si el servicio no toca datos que llegan a los estados financieros, es poco probable que el SOC 1 responda a la pregunta del cliente. Un informe financiero impecable también dice poco sobre la protección de datos en una aplicación SaaS.
SOC 2: el informe de seguridad y confianza
El SOC 2 utiliza los Trust Services Criteria (Criterios de Servicios de Confianza) y es la solicitud más común a empresas de tecnología y SaaS. Son cinco categorías:
- Seguridad: protección contra el acceso no autorizado. Es la base obligatoria de todo examen SOC 2.
- Disponibilidad: el sistema opera y puede utilizarse según el compromiso asumido.
- Integridad del procesamiento: el procesamiento es completo, correcto, autorizado y oportuno.
- Confidencialidad: la información clasificada como confidencial permanece protegida.
- Privacidad: los datos personales se recopilan, usan, conservan y eliminan según los compromisos de la organización.
No todos los informes cubren las cinco categorías. La organización elige las que tienen sentido para el servicio. Por eso, "tenemos SOC 2" no dice mucho hasta saber qué categorías y qué sistema entraron en el alcance.
Tipo I y Tipo II: la diferencia que más pesa
La distinción se aplica al SOC 1 y al SOC 2:
| Tipo I | Tipo II | |
|---|---|---|
| Pregunta | ¿Los controles están bien diseñados? | ¿Los controles funcionaron en la práctica? |
| Alcance | Una fecha específica | Un período |
| Uso común | Primer informe, mientras el período de observación no ha terminado | Evaluación de proveedores y renovación anual |
Hay un detalle que suele repetirse de forma errónea: no existe una duración mínima obligatoria para el período del Tipo II. En la práctica, los informes suelen cubrir de tres a doce meses, y la organización elige el período según lo que necesitan sus clientes. Un informe de tres meses es válido, pero aporta menos evidencia que uno de doce.
SOC 3: la versión que puede ir al sitio web
El SOC 3 aborda las mismas categorías del SOC 2, sin el mismo nivel de detalle. Al ser un informe de uso general, puede distribuirse libremente, incluso en el sitio web de la empresa. Sirve para demostrar que el examen existe, pero no incluye las pruebas y los resultados que necesita una evaluación de proveedores.
Cuál solicitar o producir
- El servicio del proveedor alimenta tus cifras financieras: solicita SOC 1 Tipo II.
- El proveedor aloja o procesa tus datos: solicita SOC 2 Tipo II, con las categorías vinculadas al riesgo del servicio.
- El proveedor aún no ha completado un período de observación: el SOC 2 Tipo I puede servir por un tiempo, con una fecha acordada para recibir el Tipo II.
- Tu empresa vende a clientes que exigen el informe: empieza con un diagnóstico de preparación y luego pasa al Tipo I o directamente al Tipo II.
- Quieres mostrar el resultado al mercado: el SOC 3 complementa el SOC 2, pero no lo sustituye en una evaluación de proveedores.
El SOC 2 no es un certificado ni sustituye a la ISO 27001
En el SOC 2 no hay certificado ni nota de aprobación. Un auditor independiente emite una opinión sobre los controles descritos, y el informe puede registrar excepciones. La ISO 27001, en cambio, certifica un sistema de gestión de seguridad de la información. Ambas comparten controles, pero responden a preguntas distintas: la ISO muestra que el sistema de gestión fue auditado; el SOC 2 Tipo II muestra cómo operaron controles específicos durante un período.
El examen lo realizan contadores públicos certificados (CPA). Antes de contratar, confirma que la firma está habilitada para emitir este tipo de informe.
Cómo leer el SOC 2 de un proveedor
Recibir el PDF no termina la evaluación. Revisa estos puntos:
- Alcance: ¿el sistema descrito es el mismo que vas a contratar?
- Tipo y período: ¿es Tipo II? ¿El período es reciente?
- Categorías: ¿cubren el riesgo del servicio? Un servicio crítico sin Disponibilidad merece una pregunta.
- Opinión del auditor: ¿tiene salvedades?
- Excepciones: ¿qué falló en las pruebas, cuál fue el impacto y qué hizo la dirección al respecto?
- Controles del cliente: ¿qué controles complementarios quedan bajo tu responsabilidad?
- Subproveedores: ¿la nube y otros terceros están incluidos o excluidos del alcance?
- Brecha de fechas: si el período terminó hace meses, pide una carta puente (bridge letter), teniendo en cuenta que es una declaración de la dirección, no una opinión del auditor.
Esta lectura también importa en sectores regulados. En servicios en la nube contratados por instituciones financieras de Brasil, el acceso a informes de auditoría independiente forma parte de lo que pide la regulación.
Lo que viene en 2027
En octubre de 2026, el comité de aseguramiento del AICPA publicó borradores de revisión de los Trust Services Criteria y de los criterios de descripción del SOC 2, con el objetivo declarado de mejorar la relevancia, la claridad y la usabilidad. Son propuestas, y la página oficial no informa la fecha de vigencia. Si tu examen se está planificando ahora, pregunta al auditor qué versión se aplicará.
Dónde entra Network Secure
Network Secure no emite informes SOC 1, SOC 2 ni SOC 3: esa es la función de un auditor independiente. Nuestro trabajo viene antes y en paralelo. En el frente de GRC, apoyamos la organización de controles, políticas y evidencias. La plataforma Eagle, de Futture AI, mapea controles a frameworks como ISO 27001 y SOC 2, reutilizando un inventario único. Y el SOC 24×7 genera registros de monitoreo y respuesta que pueden formar parte de las evidencias; corresponde al auditor decidir si son suficientes.
Preguntas frecuentes
¿Qué es un informe SOC?
Es un informe de auditoría independiente sobre los controles de una organización, emitido según las normas del AICPA. Aquí, SOC significa System and Organization Controls, y no Security Operations Center.
¿Cuál es la diferencia entre SOC 1 y SOC 2?
El SOC 1 trata de controles que afectan los informes financieros de los clientes. El SOC 2 trata de seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad.
¿Cuál es la diferencia entre SOC 2 Tipo I y Tipo II?
El Tipo I evalúa el diseño de los controles en una fecha específica. El Tipo II evalúa además si funcionaron durante un período, normalmente de tres a doce meses.
¿El SOC 3 sustituye al SOC 2?
No. El SOC 3 cubre las mismas categorías con menos detalle y puede distribuirse libremente. Para evaluar a un proveedor, el SOC 2 aporta las pruebas y los resultados necesarios.
¿El SOC 2 es una certificación?
No. El resultado es un informe con la opinión de un auditor independiente, que puede registrar excepciones. No hay certificado ni nota de aprobación.
Fuentes consultadas hasta el 30 de octubre de 2026: páginas de AICPA & CIMA sobre SOC 1, SOC 2 y SOC 3 y los borradores de revisión de los criterios para 2027; artículo publicado por la Cloud Security Alliance sobre el período del Tipo II. Este artículo tiene fines informativos y no sustituye la orientación del auditor responsable del examen.
Referencias oficiales
- SOC 1 — SOC for Service Organizations: ICFR — AICPA & CIMA
- SOC 2 — SOC for Service Organizations: Trust Services Criteria — AICPA & CIMA
- SOC 3 — SOC for Service Organizations: Trust Services Criteria for General Use Report — AICPA & CIMA
- Exposure Drafts: Proposed 2027 SOC 2 Trust Services Criteria and Description Criteria — AICPA & CIMA
- What Should the Scope Period Be for My SOC 2 Type 2 Report? — Cloud Security Alliance