Hub México · SOC 2

SOC 2 en México · Guía completa del informe y los Trust Services Criteria

SOC 2 es el estándar de confianza que el mercado estadounidense pide a los proveedores de software y servicios. Pero hay un matiz que casi todo el mundo confunde: SOC 2 no es una certificación. Es un atestiguamiento —un informe emitido por un despacho de contadores públicos (CPA) independiente bajo las normas del AICPA— que evalúa qué tan bien operan tus controles frente a los Trust Services Criteria. Entender esa diferencia es el primer paso para no perder tiempo ni credibilidad.

Para una empresa mexicana de SaaS, tecnología, BPO o fintech, SOC 2 se ha vuelto el pasaporte al mercado de Estados Unidos. En pleno auge del nearshoring, el comprador enterprise estadounidense exige un informe SOC 2 —idealmente Type II— en su proceso de evaluación de proveedores antes de firmar. Sin él, el trato se detiene en la revisión de seguridad.

Este hub te entrega el panorama completo: qué es SOC 2 y cómo se diferencia de una certificación, Type I frente a Type II, los cinco Trust Services Criteria, la diferencia entre SOC 1, SOC 2 y SOC 3, y el ángulo propio de QMA —el sistema integrado SOC 2 + ISO 27001 que implementa los controles una sola vez para servir a Estados Unidos y a Europa a la vez, mantenido audit-ready de forma continua.

5 Trust Services Criteria Security obligatoria + 4 opcionales Type I vs Type II Atestiguamiento AICPA (CPA)

Solicitar diagnóstico SOC 2 Conocer QMA Certeza

Qué es SOC 2 (y por qué no es una “certificación”)

SOC 2 —System and Organization Controls 2— es un marco de atestiguamiento desarrollado por el AICPA (el instituto de contadores públicos de Estados Unidos). Un despacho CPA independiente examina los controles de una organización de servicios frente a los Trust Services Criteria y emite un informe SOC 2: un documento de uso restringido que el proveedor comparte con sus clientes y prospectos como evidencia de que gestiona la información de forma responsable.

La gente suele buscar “certificación SOC 2”, y se entiende el atajo, pero el término correcto importa: no existe un organismo que “certifique” SOC 2 ni un sello oficial. Lo que existe es la opinión de un CPA sobre tus controles, plasmada en un informe. QMA no es despacho CPA y no emite el informe; lo que hace QMA es preparar a tu organización para esa auditoría: diseño de controles, recolección de evidencia, remediación de brechas y acompañamiento durante todo el proceso. El informe lo firma el despacho CPA independiente.

Esa separación no es un tecnicismo: es lo que da valor al informe. Un atestiguamiento independiente vale precisamente porque quien prepara no es quien opina.

Type I vs Type II

Un informe SOC 2 puede ser de dos tipos, y la diferencia define cuánto pesa ante un comprador:

La consecuencia práctica: la mayoría de las organizaciones obtiene primero un Type I para mostrar tracción y, sobre el mismo programa de controles, acumula el periodo de evidencia que sustenta el Type II. Mantener esa evidencia viva durante 6 a 12 meses es el verdadero reto operativo —y donde una plataforma de cumplimiento continuo marca la diferencia.

Los 5 Trust Services Criteria

SOC 2 se evalúa contra los Trust Services Criteria del AICPA (criterios 2017, con los points of focus revisados en 2022). Son cinco categorías; la organización elige cuáles incluir según el servicio que presta y los datos que maneja —con una excepción obligatoria:

Los points of focus de 2022 no cambiaron los criterios de 2017; añadieron consideraciones para reflejar la evolución de las amenazas y la tecnología. La organización diseña sus propios controles para satisfacer los criterios dentro del alcance elegido.

SOC 1, SOC 2 y SOC 3: no son lo mismo

Los tres informes pertenecen a la familia SOC del AICPA, pero responden a preguntas distintas:

• SOC 1 — controles relevantes para el reporte financiero del cliente (ICFR). Lo piden los auditores financieros de quienes te contratan. No evalúa seguridad de TI como tal.
• SOC 2 — controles frente a los Trust Services Criteria (seguridad y, opcionalmente, disponibilidad, integridad, confidencialidad y privacidad). Informe de uso restringido: se comparte bajo NDA con clientes y prospectos. Es el que el mercado tech de EE.UU. pide.
• SOC 3 — un resumen de uso general, publicable en abierto (por ejemplo, en tu sitio), basado en el mismo examen de los TSC pero sin el detalle del informe SOC 2.

Para la empresa mexicana que vende software o servicios a EE.UU., el informe relevante casi siempre es SOC 2 (con un SOC 3 público opcional como vitrina comercial).

SOC 2 y la venta a Estados Unidos: el pasaporte del nearshoring

El ángulo que más importa para México: SOC 2 es la moneda de confianza del SaaS y la tecnología que vende al norte. El comprador enterprise estadounidense lo incorpora a su vendor due diligence y a sus procesos de procurement; para muchos contratos, sin un informe SOC 2 —y a menudo específicamente Type II— el proceso de homologación de proveedor no avanza.

En pleno auge del nearshoring, esto convierte a SOC 2 en una palanca comercial directa para las empresas mexicanas de SaaS, tecnología, BPO y fintech que quieren venderle a Estados Unidos. No es un trámite de cumplimiento abstracto: es el documento que abre (o cierra) la puerta del mercado más grande. Y a diferencia de un proveedor que opera lejos del huso horario y del idioma de tu equipo, el acompañamiento se hace en español, con contexto local y en la misma franja horaria.

Para sectores regulados en México, los controles SOC 2 conviven con las obligaciones locales aplicables —si aplican a tu industria—; el programa se diseña para no duplicar esfuerzo entre lo que pide el comprador de EE.UU. y lo que pide el regulador mexicano.

Sistema integrado SOC 2 + ISO 27001

SOC 2 e ISO 27001 son, en el fondo, dos formas de demostrar lo mismo: que gestionas la seguridad de la información con seriedad. Sus controles solapan fuertemente. Muchas organizaciones terminan haciendo las dos —ISO 27001 porque es el lenguaje internacional y europeo, SOC 2 porque es lo que pide el comprador estadounidense.

El error caro es hacerlas por separado, como dos proyectos. El enfoque QMA es implementar el conjunto de controles una sola vez y mapear la evidencia a ambos marcos: el mismo control de acceso, la misma gestión de cambios, el mismo monitoreo sirven al SGSI de ISO 27001 y a los Trust Services Criteria de SOC 2. Se diseña una vez, se atiende a dos auditorías distintas.

SOC 2 también admite el formato “SOC 2+”, que mapea los controles a marcos adicionales como NIST o HIPAA en el mismo examen. La evidencia compartida entre marcos se administra de forma continua con QMA Certeza.

Cross-framework · una implementación, varios marcos

Los Trust Services Criteria mapean a los marcos que reguladores, auditores y clientes corporativos también solicitan. Diseñar el programa con visibilidad cross-framework desde el inicio evita duplicar evidencia:

Para sectores regulados, este enfoque conecta con el marco de gobernanza: Gobernanza, Riesgo y Cumplimiento (GRC) integral.

Cómo elegir: plataforma sola vs entrega gestionada

El mercado de SOC 2 está dominado por plataformas de software self-serve que automatizan la recolección de evidencia. Son buenas herramientas, pero dejan el trabajo difícil del lado del cliente: decidir el alcance, diseñar los controles, remediar las brechas, sostener la evidencia durante el periodo Type II y dialogar con el despacho CPA. Para un equipo mexicano que además está construyendo producto y vendiendo, eso es mucho.

El enfoque de QMA es de entrega gestionada (done-with-you): plataforma de cumplimiento continuo (Certeza) más acompañamiento humano experto, en español, con contexto de México y del comprador estadounidense, y coordinación con el despacho CPA que emite el informe. No es “te damos un software y suerte”; es “recorremos el camino contigo hasta el informe”.

Type II es continuo · y continuo es QMA Certeza

El Type II no se gana con una foto: exige evidencia de que los controles operaron a lo largo de 6 a 12 meses. Eso es exactamente lo que hace QMA Certeza: monitoreo continuo del estado de los controles, recolección y mapeo de evidencia entre marcos, y preparación permanente para la auditoría. En lugar de una carrera de última hora antes de la ventana del CPA, llegas con la evidencia ya acumulada y ordenada.

Para organizaciones que integran SOC 2 con ISO 27001, Certeza administra ambos sobre el mismo conjunto de controles, evitando duplicar evidencia. Es la diferencia entre “preparar un informe una vez” y “estar siempre listo para el siguiente”.

Hablar con un especialista Conocer QMA Certeza

Cómo empezamos

Empezar bien evita rehacer trabajo, sobre-dimensionar el alcance y sostener evidencia que no servía. Estos son los primeros pasos del acompañamiento QMA:

1. Diagnóstico SOC 2 (sin costo). Sesión para entender tu servicio, los datos que manejas, el comprador que te pide SOC 2 y el alcance candidato (qué Trust Services Criteria y si Type I o Type II). Salida: lectura honesta del punto de partida y del esfuerzo real.
2. Definición de alcance y plan de readiness. Selección de criterios, diseño de controles a tu operación, identificación de brechas y plan de remediación. Si conviene, se diseña integrado con ISO 27001 desde el inicio.
3. Acompañamiento hasta el informe. Implementación, recolección de evidencia continua, remediación y preparación para el examen del despacho CPA independiente que emite el informe SOC 2.

Solicitar diagnóstico SOC 2

Preguntas frecuentes sobre SOC 2

Solicitar diagnóstico SOC 2 sin costo

Continúa en el cluster de cumplimiento QMA