SOC 3 y sellos públicos: qué valen

El SOC 3 se basa en los mismos criterios de confianza que el SOC 2 (seguridad, disponibilidad y las demás categorías) pero se redacta para uso general. Contiene la opinión del auditor, una descripción breve del sistema y la afirmación de la gerencia. No contiene lo que hace útil a un SOC 2 o un SOC 1 para un analista: la descripción de las pruebas, el resultado de cada prueba, las excepciones y los controles que se esperan del cliente.

Por eso es un buen documento para mostrar a un público amplio que el proveedor pasó una auditoría, y un mal documento para evaluar a fondo a ese proveedor.

Un equipo comercial rara vez escribe como un auditor. Para saber qué parte de sus frases sostiene el informe, se compara cada una con tres campos: periodo, categorías y opinión. En la consola, SELECT * FROM informe_soc3 muestra lo que dice el PDF y SELECT * FROM afirmaciones_de_ventas las cuatro frases del equipo comercial. Una de ellas, y solo una, dice exactamente lo que el informe dice: no más, no menos, y con su periodo.

El sello de la web dice «vigente» y la página está fechada hoy. Pero un informe describe un periodo pasado, y ese periodo tiene un último día. Lo que ocurrió después de ese día no está cubierto: el proveedor puede haber cambiado de plataforma, de personal o de controles. Un sello en una página web no se actualiza solo con lo que pasa dentro del proveedor.

Un sello no es una certificación continua ni una garantía: es la forma gráfica de enlazar a un informe fechado. Su valor depende de lo que el informe contiene y de lo reciente que sea. Para una primera criba de proveedores, el SOC 3 aporta algo útil: hay un auditor independiente que opinó sobre seguridad y disponibilidad en un periodo. Para decidir si confiar en un proveedor con datos delicados o con efecto en las cuentas, hace falta más: pedir el informe detallado y leerlo.