Preparado antes de que llegue el auditor.
SOC 2 trata sobre todo de evidencias: hacer cosas sensatas y poder demostrar que las haces de forma constante. Dejamos las dos cosas en marcha antes de que empiece la auditoría.
Preparamos tu empresa para su auditoría SOC 2: implantamos los controles, montamos la recogida de evidencias y cerramos los huecos. La auditoría la hace después una firma auditora independiente y acreditada que eliges tú. Nosotros no somos auditores ni tenemos certificaciones propias, y por eso podemos prepararte. Para empresas en España.
Actualizado noviembre de 2026
Casi todo SOC 2 consiste en demostrar lo que ya haces.
Las empresas suelen tener ya prácticas razonables. Lo que no tienen son evidencias: un registro de que los accesos se revisaron cada trimestre, de que los cambios se aprobaron, de que las copias de seguridad se probaron. La auditoría pide pruebas, no intenciones.
Así que la preparación consiste en gran parte en que las evidencias se recojan solas. Si demostrar un control exige que alguien junte capturas cada trimestre, dejará de hacerse al tercero, y la auditoría lo encontrará.
El Tipo I dice que los controles existían en una fecha. El Tipo II dice que funcionaron durante meses. La mayoría de los clientes que piden SOC 2 quieren el Tipo II, y eso significa que el periodo de evidencias empieza antes de la auditoría: planificarlo con tiempo ahorra mucho.
Qué hacemos.
Primero, el análisis de huecos
Qué está ya en marcha, qué falta y cuánto trabajo es cada hueco.
Evidencias que se recogen solas
Lo más importante. La recogida manual de evidencias deja de hacerse al tercer trimestre.
Políticas que la gente va a seguir
Escritas para tu empresa real. Las plantillas genéricas se ignoran, y los auditores lo notan.
Revisión de accesos
Trimestral, registrada y tan automatizada como permitan tus herramientas.
Gestión de cambios
Normalmente ya la tienes en los pull requests. Hay que registrarla, no rehacerla.
Plan de respuesta a incidentes
Escrito y ensayado al menos una vez: los auditores preguntan si se ha probado.
Registro de proveedores
Quién trata tus datos, qué se evaluó y cuándo se revisó por última vez.
Relación con el auditor
Te ayudamos a elegir firma auditora y a prepararte, aunque no podemos auditarte nosotros.
Dónde suelen estar los huecos.
En orden aproximado de la frecuencia con la que encontramos cada uno sin hacer en absoluto.
| Área de control | Hueco habitual | Esfuerzo para cerrarlo |
|---|---|---|
| Revisión de accesos | Nunca hecha, o hecha una vez | Bajo: trimestral y automatizable |
| Gestión de cambios | Despliegues sin registro de aprobación | Bajo, si ya usáis pull requests |
| Altas y bajas de personal | Sin registro de accesos retirados | Bajo: una lista y sus evidencias |
| Revisión de proveedores | Nadie evalúa a los proveedores | Moderado: un registro y un proceso |
| Respuesta a incidentes | Sin plan escrito | Moderado: escribirlo y ensayarlo una vez |
| Evaluación de riesgos | Nunca hecha formalmente | Moderado: anual y documentada |
| Cifrado y registros | Normalmente bien | Bajo: sobre todo demostrarlo |
Cómo lo planteamos.
Nosotros preparamos; una firma independiente audita. La misma parte no puede hacer las dos cosas con credibilidad.
El estudio no tiene SOC 2, ISO 27001 ni ninguna otra certificación propia. Preparamos la tuya, no la nuestra.
Lo que más predice si la preparación sobrevive hasta la auditoría.
Cuándo empezar.
Te lo ha pedido un cliente grande
El desencadenante habitual, a menudo un cliente de Estados Unidos. Empezar cuando el contrato ya espera es estresante y caro.
Vendes a empresas más grandes
A partir de cierto tamaño de contrato se convierte en una pregunta estándar. Mejor haber empezado antes.
Tratas datos de tus clientes
Si procesas algo sensible por cuenta de otros, esto acabará llegando.
No si te piden ISO 27001 o ENS, o nadie te pide nada
En España muchos clientes piden ISO 27001 o el Esquema Nacional de Seguridad en lugar de SOC 2, y esos los certifica una entidad acreditada. Y si nadie te lo ha pedido y sois cinco personas, el dinero rinde más en otra parte por ahora.
Cómo trabajamos.
Analizamos los huecos
Contra los criterios que de verdad necesitas, que normalmente no son todos.
Priorizamos por esfuerzo
Primero los controles rápidos y automatizables, para que el avance sea real pronto.
Automatizamos las evidencias
Antes que nada. Las evidencias que necesitan a una persona cada trimestre no sobreviven.
Escribimos las políticas
Para tu empresa tal como funciona, no una plantilla con tu nombre cambiado.
Acompañamos el periodo de evidencias
Para el Tipo II, los controles deben funcionar durante meses. Comprobamos que se mantienen.
Te preparamos para el auditor
Repaso, evidencias organizadas y las preguntas que te harán.
Preparación para SOC 2
6 preguntas respondidas. ¿Tienes otra? Escríbenos.
No, y nadie creíble ofrecería las dos cosas. Las auditorías SOC 2 las hace una firma auditora independiente habilitada para ello, y preparar a una empresa para después evaluarla anularía el sentido. Nosotros te preparamos y te ayudamos a elegir auditor; el auditor audita.
Siete categorías. Cuarenta y cinco servicios.
Cuéntanos el proyecto. Te diremos si somos las personas adecuadas.
Escríbenos lo que necesitas, aunque sea a grandes rasgos. Respondemos en un día laborable, y si el proyecto debería ser más pequeño, o lo debería hacer otro, te lo decimos en la primera llamada.