Recurso gratuito
Lista de verificación de evidencias SOC 2 (Type II)
Exactamente lo que pide un auditor SOC 2, organizado por los nueve Common Criteria. Recórrala para preparar su auditoría — o deje que CATAAM recopile la mayor parte automáticamente y de forma continua.
CC1 — Entorno de control
- Código de conducta / política de ética (firmado por todos los empleados)
- Organigrama que muestre la gobernanza de seguridad y las líneas de reporte del CISO
- Roles y responsabilidades de seguridad definidos (RACI o descripciones de puesto)
- Registros de finalización de formación y concienciación en seguridad (anuales)
CC2 — Comunicación e información
- Política de seguridad de la información (distribuida, fechada)
- Política de uso aceptable
- Políticas de privacidad y de divulgación responsable publicadas
- Procedimiento de notificación de incidentes (SLA de notificación de brechas a clientes)
CC3 — Evaluación de riesgos
- Documento de metodología de evaluación de riesgos
- Registro de riesgos vigente (fechado dentro del periodo de auditoría)
- Registro de amenazas y vulnerabilidades; inventario de activos vinculado al riesgo
- Puntuación de riesgos (probabilidad × impacto) y decisiones de tratamiento
CC4 — Actividades de supervisión
- Calendario y resultados de auditorías internas / pruebas de controles
- Actas de reuniones de revisión por la dirección (temas de seguridad)
- Registro de seguimiento de deficiencias + evidencias de remediación de hallazgos previos
CC5 — Actividades de control
- Política de gestión de cambios
- Política SDLC con requisitos de seguridad
- Registros de revisión de código (registros de aprobación de PR)
- Resultados de análisis estático / SAST del periodo de auditoría
CC6 — Acceso lógico y físico
- Política de control de acceso + lista de cuentas privilegiadas
- Evidencia de aplicación de MFA (captura de la política del IdP, p. ej. Okta / Azure AD)
- Procedimiento de alta/baja; desaprovisionamiento dentro del SLA
- Revisiones de acceso trimestrales; documentación de mínimo privilegio / RBAC
- Cifrado en reposo y en tránsito (RDS, S3, TLS en todos los endpoints)
- Informes de análisis de vulnerabilidades + tickets de remediación (trimestrales)
CC7 — Operaciones del sistema
- Documentación de supervisión de seguridad / SIEM + reglas de alerta
- Política de retención de registros (≥ 1 año) + reenvío centralizado de registros
- Plan de respuesta a incidentes, probado mediante simulacro de mesa durante el periodo
- Registro de incidentes + análisis de causa raíz + lecciones aprendidas aplicadas
CC8 — Gestión de cambios
- Política de gestión de cambios con puntos de aprobación
- Muestra de tickets de cambio que evidencien revisión y autorización
- Segregación de funciones entre desarrollo y despliegue
- Procedimientos de reversión
CC9 — Mitigación de riesgos
- Proceso de evaluación de riesgos de proveedores / terceros + registros
- Planes de continuidad del negocio y recuperación ante desastres (probados)
- Documentación del ciberseguro (si procede)
Versión abreviada de la lista de verificación SOC 2 Type II de código abierto de CATAAM. Los criterios de disponibilidad, confidencialidad, integridad del procesamiento y privacidad aplican si están dentro del alcance de su auditoría — consulte la versión completa en GitHub.
Evidencias SOC 2 — FAQ
- ¿Qué es una lista de verificación de evidencias SOC 2?
- Una lista de verificación de evidencias SOC 2 enumera los documentos y artefactos que un auditor necesita para verificar cada control de los Trust Services — políticas, revisiones de acceso, registros, resultados de análisis, tickets — organizados por los Common Criteria (CC1–CC9). Convierte la pregunta «¿qué quieren realmente?» en una lista concreta, control por control.
- ¿Qué evidencias se necesitan para SOC 2 Type II?
- El Type II exige evidencias de que los controles funcionaron de forma eficaz durante un periodo de 6 a 12 meses — no solo de que existen un día concreto. Eso implica artefactos recurrentes y con marca de tiempo: revisiones de acceso trimestrales, análisis de vulnerabilidades periódicos, tickets de cambio, revisiones de registros y registros de incidentes que abarquen toda la ventana de auditoría.
- ¿En qué se diferencia de SOC 2 Type I?
- El Type I comprueba el diseño de los controles en un momento concreto; el Type II comprueba la eficacia operativa a lo largo de un periodo. La lista es similar, pero el Type II necesita varias instancias de cada control recurrente a lo largo de la ventana.
- ¿Se puede automatizar?
- Sí. La mayoría de estos elementos (políticas IAM, configuración de MFA, ajustes de cifrado, resultados de análisis, revisiones de acceso, tickets de cambio) pueden recopilarse automáticamente. CATAAM se conecta a AWS, GitHub y Jira y recopila estas evidencias de forma continua, mapeadas a cada control — de modo que la lista se rellena sola.
Deje de reunir todo esto a mano
CATAAM recopila y mapea la mayor parte de estas evidencias automáticamente — de forma continua, con marca de tiempo y listas para auditoría.
Ver la automatización de evidencias SOC 2