“Gracias a la alianza con Delta Protect, Atrato ha logrado avances significativos hacia la certificación ISO 27001, fortaleciendo notablemente su seguridad y cumplimiento. El soporte continuo y las asesorías expertas de Delta, combinadas con la innovadora plataforma Apolo, han sido fundamentales para acelerar y optimizar nuestro roadmap, permitiéndonos enfrentar y superar eficazmente cualquier desafío en seguridad de la información.”
“Tras 3 meses de colaboración efectiva con Delta Protect, estamos impresionados con los resultados y la cobertura del programa de Pentesting de CISO As a Service. Hemos detectado y abordado vulnerabilidades clave, mejorando significativamente nuestra seguridad de la información. Los entrenamientos de Ciberseguridad y ejercicios de Phishing han sido cruciales para aumentar la conciencia de nuestros colaboradores. Agradecemos el seguimiento y apoyo continuo de Delta Protect y esperamos alcanzar más objetivos juntos.”
“Nuestra colaboración con Delta Protect marcó un hito en nuestra seguridad digital. Su enfoque meticuloso y detallado en el Pentest reveló vulnerabilidades ocultas que habían pasado inadvertidas, demostrando una eficacia y rapidez impresionante en su resolución. Además, su servicio de CISOaaS transformó nuestra estrategia de ciberseguridad, donde su equipo experto nos guió en el desarrollo de políticas robustas y procesos efectivos.”
“Me complace enormemente relatar la experiencia positiva y enriquecedora que hemos tenido con Delta Protect y su sobresaliente servicio de Chief Information Security Officer as a Service (CISOaaS). Representando al departamento de TI de Sperientia, quiero expresar mi profunda gratitud y aprecio por el alto nivel de calidad y profesionalismo evidenciado en nuestra colaboración con el equipo de Delta Protect. Desde el inicio de nuestra asociación con Delta Protect, hemos observado un compromiso y una excelencia excepcionales, superando ampliamente nuestras expectativas.”
“Mi experiencia con el equipo de especialistas de Delta Protect ha sido tremendamente positiva. En todo momento, han mostrado un alto grado de profesionalismo, experiencia y conocimiento, manejándose con una ética impecable. Su atención al detalle y su disposición para resolver problemas y brindar apoyo han sido imprescindibles. Como CISO, valoro enormemente contar con aliados tan confiables y competentes, que contribuyen significativamente a fortalecer la postura de ciberseguridad de mi compañía.”
Nuestra reciente experiencia con Delta Protect en el pentesting fue excepcional. Nos brindaron asistencia crucial para identificar y fortalecer aspectos de seguridad en variados sistemas e interfaces, abarcando front-end, back-end y aplicaciones móviles. Su enfoque ágil y sumamente profesional fue notable. Sin duda, confiaríamos nuevamente en Delta Protect para asegurar la integridad de nuestros sistemas.
Estoy absolutamente impresionado con la experiencia brindada por Delta Protect. Son, sin duda, el proveedor más responsable y cumplidor que hemos tenido el placer de colaborar.
Mi trayectoria con DeltaProtect se remonta a mi empleo anterior, donde ya tenía contacto con ellos desde el equipo de Ciberseguridad. Solicitamos pruebas de penetración (PT) para aplicaciones web y móviles. Mi experiencia con varios proveedores, grandes y pequeños, me ha demostrado que DeltaProtect se destaca significativamente. Sus informes y hallazgos son superiores, identificando vulnerabilidades que otros proveedores no detectaron. Lo que más valoro es la profundidad de sus pruebas y el enfoque en vulnerabilidades que requieren un análisis más detallado, más allá de los resultados automáticos.
"Delta Protect fue una solución óptima para nosotros. Buscábamos un proveedor bien actualizado técnicamente, que entendiera nuestro modelo de negocio y que nos diera la certeza de poder transmitir solidez a nuestros clientes. El trato del equipo Delta y sus procesos han superado nuestras expectativas, sin duda seguiremos trabajando juntos.”
"¡La experiencia general de trabajar con Delta Protect ha sido simplemente excelente! El equipo responde con velocidad, aclaran todas las preguntas a medida que surgen y el apoyo brindado durante todo el proceso es excelente. Lo Recomendaría sin dudarlo.”
"El servicio de Delta Protect es altamente profesional. Quedamos muy satisfechos con el resultado. Ofrecieron acompañamiento en todo momento para encontrar y solucionar las vulnerabilidades que encontraron en nuestro sistema.”
Auditoría SOC 2: ¿Qué es y por qué debes realizarla en tu empresa?
Ciberseguridad y Cumplimiento Simplificado para Startups y PYMEs en México y LATAM 🔐
Auditoría SOC 2: ¿Qué es y por qué debes realizarla en tu empresa?
Conclusiones
Experto en Seguridad de la Información con más de 25 años de experiencia en el sector financiero y farmacéutico para diversas empresas en México, como Citibanamex, Banca Mifel, Volkswagen Bank, GBM y SANFER entre otros. Se ha especializado en la gestión de riesgos tecnológicos con la finalidad de sensibilizar a los grupo de Dirección sobre la importancia de certificar a las empresas como medio que agrega valor y confianza a autoridades, clientes e inversionistas.
Ciberseguridad y Cumplimiento Simplificado para Startups y PYMEs en México y LATAM 🔐
¿Quieres garantizar la integridad, confidencialidad y disponibilidad de los datos contenidos en los sistemas de tu empresa? Bríndale a tus clientes la confianza y tranquilidad necesarias gracias a la implementación de una herramienta reconocida internacionalmente: SOC 2. Te explicamos en qué consiste y cómo incluirla en tu organización.
¿Qué es la auditoría SOC 2?
Los controles de organizaciones de servicios (SOC o Systems and Organizations Controls en inglés) son un estándar internacional desarrollado por el Instituto Americano de Contadores Públicos Certificados o AICPA (American Institute of Certified Public Accountants) para ayudar a las empresas a demostrar los controles de seguridad que utilizan para garantizar la protección de información en la nube.
Existen 3 categorías de auditorías de controles de servicio (SOC):
- SOC 1: se basa en los controles internos de seguridad para los estados financieros y contables.
- SOC 2: evalúa de forma independiente los controles operativos, con énfasis en las áreas de seguridad, disponibilidad, confidencialidad, privacidad e integridad de los procesos.
- SOC 3: es un informe de cumplimiento que se puede compartir con los clientes, pero sin información confidencial, sobre la efectividad de los controles de seguridad. Son más breves y con menos detalles que los SOC 2.
La SOC 2 no es un requisito legal ni sustituye otras prácticas de seguridad o gestión de riesgos. Estos informes no definen la certificación SOC 2, sino que reflejan la opinión del auditor que los realiza.
¿Quién realiza las auditorías SOC 2?
Deben ser realizadas por Contadores Públicos Certificados (CPA) independientes o firmas de contabilidad.
¿Cómo saber si mi empresa necesita una auditoría SOC 2?
La auditoría SOC 2 se debe realizar por toda empresa u organización que almacena datos sensibles en la nube. Esto servirá para demostrar los controles de seguridad de la información que usan para protegerlos de forma segura.
Cualquier empresa de SaaS (Software as a service) puede utilizar la norma SOC 2 como certificado mínimo de conformidad.
Los 5 criterios de servicio de confianza
Durante las auditorías SOC 2, los auditores deben verificar si en los procesos internos de la empresa evaluada se cumplen estos cinco criterios de servicio de confianza (TSC, por sus siglas en inglés):
Seguridad
Son las medidas y protocolos que evitan el acceso no autorizado al sistema y la exposición de datos de los clientes. La seguridad también debe contemplar la protección frente a daños en el sistema que afecten la disponibilidad de los datos, su integridad y confidencialidad.
Disponibilidad
Tanto los sistemas como la información deben estar siempre disponibles para que una organización pueda trabajar con normalidad y cumplir con sus objetivos.
Integridad del procesamiento
El procesamiento del sistema debe proporcionar información válida, parecida y fiable en todo momento que se solicite o autorice. Los datos personales y la información que intercambian el cliente y el proveedor tienen que estar debidamente resguardados.
Confidencialidad
Solo el personal autorizado puede tener acceso a los datos clasificados como confidenciales, tales como información personal, privada, datos sensibles que intercambie una empresa con sus clientes, datos médicos, entre otros.
Privacidad
La información personal debe recopilarse, usarse, almacenarse y desecharse siguiendo una serie de medidas de seguridad que permitan a una empresa u organización garantizar la privacidad.
Tipos de SOC 2
Una auditoría SOC 2 puede durar hasta un año y tiene dos tipos de informes:
SOC 2 tipo 1
Es una instantánea de cómo están los procesos de seguridad en un momento determinado. El objetivo es hacer una evaluación de los controles en ese instante para saber si están debidamente diseñados y si son apropiados.
SOC 2 tipo 2
La evaluación de la compañía se hace durante un período de tiempo, por ejemplo, un año para hacer una revisión histórica de los sistemas y determinar si los controles internos están diseñados adecuadamente y son efectivos a largo plazo. El SOC 2 tipo 2 debe completar previamente el SOC Tipo 1.o 2
El contenido del informe de auditoría SOC 2 final debe incluir:
- Afirmación de la dirección: todos los sistemas relacionados con los servicios prestados están descritos de manera precisa en el informe.
- Informe del auditor: es un resumen de todas las pruebas realizadas y sus resultados. También incluye la opinión del auditor sobre la eficacia de los controles aplicados.
- Visión general de los sistemas: es una descripción detallada del sistema revisado o el servicio.
- Aplicabilidad de los criterios: describe los controles que existen, su eficacia y cuándo son considerados los criterios del servicio de confianza.
Relación entre las SOC 2 y la ISO 27001
La ISO 27001 es una certificación de normas que especifica los controles necesarios para establecer, implementar, mantener y mejorar continuamente un Sistema de Gestión de Seguridad de la Información o ISMS (Information Security Management System).
Aunque el cumplimiento de la ISO 27001 no es obligatorio, le da a la empresa una base sólida para las auditorías de SOC 2. La seguridad de los datos y la confianza del cliente aumentan con el uso de ambos marcos.
Beneficios del cumplimiento de SOC 2 en tu empresa
Los estándares de seguridad SOC 2 certificados por un auditor externo y aplicados de forma habitual, le dan a los clientes la seguridad de que se ejecutan las mejores prácticas para proteger su información.
Garantiza la seguridad de la información
Los requisitos de cumplimiento y la realización de auditorías in situ demuestran que una organización está comprometida con mantener un alto nivel de seguridad de la información y manejar de forma responsable los datos sensibles y confidenciales.
Permite mejorar las prácticas de seguridad de la información
Los procesos empresariales fortalecen su defensa ante posibles ataques cibernéticos y previenen las violaciones de seguridad.
Ofrece una ventaja competitiva
Los clientes prefieren trabajar con proveedores de servicios que demuestren su capacidad de implementar prácticas sólidas de seguridad de la información, en especial cuando se trata de servicios en la nube y en el ámbito de la tecnología de información.
4 pasos para cumplir el SOC 2
Existen 4 elementos básicos que debes seguir para cumplir con el informe SOC 2:
1. Aplica controles de acceso
Son las restricciones lógicas y físicas que se realizan para proteger los activos y evitar el acceso no autorizado del personal o de agentes externos.
2. Gestiona cambios eficientemente
La ejecución de los cambios en los sistemas de TI se debe realizar de manera controlada para evitar modificaciones no autorizadas.
3. Monitorea las operaciones de los sistemas de información
Verifica las operaciones en curso, detecta si hay alguna desviación en los procedimientos de una organización y aplica medidas correctivas.
4. Mitiga los riesgos
Ejecuta métodos y actividades para identificar, responder y mitigar los riesgos, además de abordar cualquier impacto que pueda generar en la organización.
¿Qué se necesita para obtener la certificación SOC 2?
Para obtener la certificación SOC 2, una empresa debe seguir varios pasos clave, entre ellos:
- Preparación inicial: comprender los requisitos de SOC 2 y evaluar su infraestructura y prácticas actuales de seguridad de la información para identificar áreas de mejora.
- Determinar el alcance: definir qué servicios y sistemas estarán cubiertos por la certificación SOC 2.
- Implementación de controles: desarrollar e implementar controles de seguridad adecuados para cumplir con los criterios de confianza anteriormente explicados.
- Documentación de políticas y procedimientos: crear y mantener políticas y procedimientos detallados que describan cómo se implementan y mantienen los controles de seguridad.
- Prueba y monitoreo: realizar pruebas y monitorear los controles de seguridad para garantizar su eficacia y cumplimiento continuo.
- Auditoría externa: finalmente, la empresa debe contratar a un auditor externo calificado que realice una evaluación independiente de sus controles de seguridad y emita un informe de auditoría SOC 2.
Es fundamental que protejas tu empresa y cumplas con todas las medidas en materia de seguridad durante el procesamiento de datos. Para ello te ofrecemos Apolo, un servicio 20 veces más rápido que los métodos tradicionales, que permite detectar y corregir vulnerabilidades en tus aplicaciones, APIs, nube y correo electrónico. También ayuda a gestionar los riesgos humanos y agiliza el cumplimiento de estándares como ISO 27001.
En Delta Protect te ayudamos a optimizar la ciberseguridad y el cumplimiento de tu empresa. Agenda un demo de Apolo con nuestros expertos para saber más sobre cómo Apolo puede ayudarte a realizar el proceso de auditoría SOC 2 de forma ideal.
Experto en Seguridad de la Información con más de 25 años de experiencia en el sector financiero y farmacéutico para diversas empresas en México, como Citibanamex, Banca Mifel, Volkswagen Bank, GBM y SANFER entre otros. Se ha especializado en la gestión de riesgos tecnológicos con la finalidad de sensibilizar a los grupo de Dirección sobre la importancia de certificar a las empresas como medio que agrega valor y confianza a autoridades, clientes e inversionistas.
