Los informes de control de la organización de servicios (SOC) son informes de examen de terceros independientes que demuestran cómo la empresa logra los controles y objetivos clave de cumplimiento. El propósito de estos informes es ayudarlo a usted y a sus auditores a comprender los controles establecidos para respaldar las operaciones y el cumplimiento.
Hay tres tipos de informes SOC:
SOC1, SOC2 y SOC3.
La base de SOC se basa en cómo la empresa protege los datos de los clientes y la eficiencia con la que operan estos controles. Proporciona una evaluación independiente del entorno de control de seguridad y privacidad de una empresa. La evaluación incluye la descripción de los controles, la prueba realizada para acceder a ellos, los resultados obtenidos en esas pruebas y la opinión general del diseño y efectividad operativa del mismo.
Cada uno de los informes del SOC es de dos tipos: Tipo I y Tipo II. El tipo I es en un tiempo específico y el tipo II es para una duración de tiempo específica (un período de un año).
SOC1, también conocido como SSAE No. 16, es el cumplimiento emitido por Auditing Standard Board (ASB) del Instituto Americano de Contadores Públicos Certificados (AICPA). Controla el control interno de la empresa sobre los informes financieros. Describe si los procesos de la empresa están de acuerdo con los principios de confianza en seguridad cibernética.
Para saber más sobre la seguridad y disponibilidad del sistema en lugar de los informes financieros, se necesitan los informes SOC 2 y SOC 3.
El cumplimiento de SOC 2 se inclina a la descripción general del sistema de la organización de servicios de seguridad (empresa). Se centra en cómo averiguar si el diseño del control cumple con el punto de referencia de los principios de seguridad cibernética del servicio de confianza de AICPA. Esto informa sobre el control de las organizaciones de servicios, en la fecha y hora especificadas. El SOC 2 depende de probar todos los criterios de control.
El informe Tipo II revela el control de la organización de servicios sobre un período de revisión específico.
El informe SOC 3 cubre los mismos procedimientos de prueba que un informe SOC 2, pero omite los resultados detallados de la prueba y está destinado a la distribución pública en general.
El objetivo del SOC es evaluar el sistema de seguridad cibernética alojado de una organización y los datos almacenados por la empresa o procesados en referencia a la seguridad, los procesos, la disponibilidad, la integridad, la confidencialidad o la privacidad.