Evaluación gratuita de preparación SOC 2
Comprueba lo preparado que estás para SOC 2, ISO 27001, HIPAA o el RGPD. Responde preguntas sencillas, mira tu preparación por marco y por área de control, y descubre qué brechas cerrar primero.
¿Qué es una evaluación de preparación SOC 2?
Una evaluación de preparación es la revisión que haces antes que el auditor. Compara cómo gestionas hoy la seguridad con lo que revisará una auditoría SOC 2 (o una certificación ISO 27001, una revisión HIPAA o una evaluación del RGPD) y convierte las diferencias en un plan. Las empresas suelen hacerla cuando un cliente pide un informe SOC 2 o un cuestionario de seguridad y necesitan saber cuánto les falta.
Esta evaluación gratuita cubre los controles que aparecen en casi todas las auditorías y revisiones de clientes: gobierno y riesgo, control de acceso, dispositivos, protección de datos, operaciones, incidentes, proveedores y pruebas. No sustituye una revisión formal de preparación por una firma de auditoría, pero te dice dónde estás en pocos minutos.
¿Qué marco necesitas?
SOC 2 Clientes de EE. UU.
Un informe de atestación de una firma CPA sobre cómo están diseñados tus controles (Type 1) y cómo funcionaron durante un periodo (Type 2). Lo que suelen pedir los clientes SaaS y corporativos de EE. UU.
ISO 27001 Global
Una certificación de tu sistema de gestión de seguridad de la información por un organismo acreditado. Habitual con clientes del Reino Unido, Europa, Australia y Asia.
HIPAA Datos de salud de EE. UU.
Ley estadounidense para proteger la información de salud. Si manejas PHI para un cliente del sector sanitario, necesitas sus salvaguardas y un acuerdo de asociado comercial.
GDPR Datos personales de la UE y el Reino Unido
Ley de privacidad para los datos personales de personas en la UE y el Reino Unido. Se aplica a cómo recopilas, usas, proteges y eliminas esos datos, estés donde estés.
Cómo funciona la puntuación
Cada pregunta corresponde a un control que auditores y clientes suelen esperar. «Sí» cuenta completo, «En parte» cuenta la mitad y «No» o «No estoy seguro» cuentan como no implementado. Los controles esenciales (como MFA, cifrado de dispositivos, copias de seguridad, un plan de incidentes y una evaluación de riesgos) cuentan el doble. La puntuación de cada marco usa solo las preguntas que le aplican, por eso tus puntuaciones de SOC 2 y del RGPD pueden ser distintas.
- 90 % o más: listo para preparar la auditoría: reúne pruebas y reserva una revisión de preparación.
- 70–89%: casi preparado: cierra las brechas restantes y empieza a reunir pruebas.
- 40–69%: en desarrollo: un plan centrado de unos meses suele cerrar las brechas.
- Menos del 40 %: fase inicial: empieza por la política, MFA, cifrado, copias de seguridad y un plan de incidentes.
Las brechas más habituales
- Sin rastro de pruebas. Los controles existen, pero nadie puede demostrar que funcionaron el trimestre pasado. SOC 2 Type 2 consiste en pruebas a lo largo del tiempo.
- Bajas lentas. Antiguos empleados conservan durante semanas el acceso al correo o a cuentas en la nube.
- Copias de seguridad y planes de incidentes sin probar. Ambos existen sobre el papel pero nunca se han probado.
- Sin evaluación de riesgos. Es uno de los primeros documentos que piden los auditores y uno de los más rápidos de resolver.
- Proveedores que nadie revisó. Tus clientes te revisan a ti; los auditores revisan que tú revises a tus proveedores.
¿SOC 2 Type 1 o Type 2?
Un informe Type 1 revisa si tus controles están bien diseñados en un momento concreto. Un informe Type 2 comprueba además si funcionaron con eficacia durante un periodo, normalmente de tres a doce meses. Muchas empresas empiezan con el Type 1 para responder rápido a un cliente y después pasan al Type 2. En cualquier caso, las brechas de esta evaluación son las primeras que conviene cerrar.
Preguntas frecuentes
¿Esta evaluación es gratuita?
Sí. Puedes hacerla tantas veces como quieras, descargar el PDF y compartir la instantánea sin crear una cuenta.
¿Se suben mis respuestas a algún sitio?
No. Las puntuaciones se calculan en tu navegador. Un enlace de instantánea compartido lleva las respuestas dentro del propio enlace. Si añades tus datos de contacto y descargas o compartes, Sourceably guarda esos datos y tus puntuaciones, salvo que marques «No contactarme».
¿Una puntuación alta significa que cumplo con SOC 2?
No. Es una autoevaluación, no una auditoría, atestación ni certificación. Solo una firma CPA autorizada puede emitir un informe SOC 2, y solo un organismo de certificación acreditado puede certificarte en ISO 27001.
¿Cuánto se tarda en estar preparado para SOC 2?
Depende de tu punto de partida. Las empresas que ya tienen casi todo lo básico suelen necesitar desde unas semanas hasta unos meses; después, un informe Type 2 requiere un periodo de observación de normalmente tres a doce meses.
¿Puedo compartir el resultado con un cliente?
Sí. «Compartir instantánea» crea un enlace que muestra tus puntuaciones, claramente marcadas como autodeclaradas. Para una tarjeta en la que tus clientes puedan confiar, verifica tus controles con el agente local de Sourceably.