SOC 2 y gestión de activos: qué mostrar al auditor

Para demostrar a un auditor SOC 2 que gestionas tus activos, lleva un único registro de los dispositivos, sistemas y contratos de proveedores que tocan datos de clientes, con un responsable, un estado y una ubicación para cada uno, y muestra cómo entra, cambia de manos y sale cada elemento. SOC 2 no tiene un control llamado «inventario de activos». El auditor relaciona tu registro con los criterios de acceso, baja y proveedores, así que lo que prueba es que el registro coincida con la realidad.

¿SOC 2 exige realmente un inventario de activos?

SOC 2 es un informe de atestación basado en los Trust Services Criteria que publica el AICPA. No hay una línea que diga «mantén un inventario de activos». Sin embargo, los Common Criteria se apoyan en él. El criterio de acceso lógico (CC6.1) incluye gestionar un inventario de activos de información entre sus puntos de enfoque, el criterio sobre la baja de activos físicos (CC6.5) exige saber qué se da de baja, y el de proveedores (CC9.2) supone conocer de cuáles dependes.

El auditor prueba tu propia descripción del sistema y tus políticas. Si escribes que los dispositivos se registran y se revisan, tomará muestras del registro para comprobarlo. Un compromiso breve y exacto vale más que uno ambicioso que no puedes demostrar.

Fuente: el AICPA publica los Trust Services Criteria y su guía SOC 2 en aicpa-cima.com.

¿Qué pedirá ver el auditor?

Las solicitudes varían según el auditor, pero suelen seguir este patrón. Úsalo como punto de partida y confírmalo con el tuyo.

¿Tipo I o Tipo II: qué cambia para el registro?

Un informe Tipo I examina si tus controles están bien diseñados en una fecha. Uno Tipo II comprueba que funcionaron durante un periodo, a menudo varios meses. Para el registro, esa es la diferencia real. Para el Tipo I basta una foto. Para el Tipo II el auditor toma muestras de todo el periodo, así que debes mostrar lo que decía el registro entonces, no solo hoy.

En la práctica, guarda una exportación a intervalos regulares y asegúrate de que cada cambio de estado lleve fecha. Si un portátil se reasignó en marzo, la ficha debe seguir mostrando quién lo tenía antes.

¿Cuál es el registro mínimo para una startup?

No necesitas una CMDB empresarial. Cubre lo que toca datos de clientes y registra los mismos campos en todo.

• Hardware: portátiles y móviles, más cualquier servidor o equipo de red propio, con número de serie.
• Responsable: una persona con nombre, no un buzón compartido.
• Estado: en stock, desplegado, en reparación, retirado.
• Ubicación: oficina, domicilio o almacén.
• Cifrado y gestión: si el disco está cifrado y el dispositivo está inscrito en tu gestión de dispositivos, con referencia en la ficha.
• Contratos de proveedores: responsable, fecha de fin y preaviso de cada proveedor que almacene o trate datos de clientes.
• Baja: fecha y enlace al certificado de borrado.

¿Cómo mantenerlo correcto entre auditorías?

Los registros se desactualizan por los bordes: un nuevo empleado recibe un portátil del stock, alguien que se va se queda un móvil, un proveedor renueva en silencio. Tres hábitos cubren casi todo. Concilia el registro con la lista de tu proveedor de identidad una vez al mes y corrige cada diferencia. Vincúlalo a tu checklist de salida para que la devolución se anote el mismo día. Y revisa cada trimestre los registros de baja, porque los certificados de borrado son lo que más cuesta encontrar después.

Para ver todo lo que espera un auditor, consulta cómo superar una auditoría de activos TI y el registro de activos ISO 27001, muy parecido.

¿Dónde encaja InventorIA?

InventorIA reúne el registro de hardware (asignación, estado, garantía, ubicación y estados del ciclo de vida), las licencias de software con sus puestos y el registro de contratos de proveedores con fechas de inicio y fin y alertas de renovación. Las fichas de personas y la salida vinculan a cada persona con los activos y puestos que tiene, y los datos se exportan a CSV o Excel para entregar al auditor una copia con fecha. El registro de auditoría forma parte del plan Enterprise.

Es una herramienta de registro. No te hace cumplir SOC 2 por sí sola: el borrado, el cifrado y los controles de acceso siguen siendo tuyos de ejecutar y demostrar. Para probarlo con datos de ejemplo, abre la demo en vivo o crea un espacio gratuito, hasta 10 activos.

Preguntas frecuentes

¿Es obligatorio un inventario de activos para SOC 2?

Los criterios no tienen un control con ese nombre exacto, pero los de acceso, baja y proveedores dependen de conocer tus activos, así que los auditores esperan uno. Describe en tu descripción del sistema lo que haces realmente.

¿Los dispositivos personales (BYOD) deben estar en el registro?

Si pueden acceder a datos de clientes, sí, o tu política debe prohibirlo y debes poder mostrar cómo se aplica. Al auditor le importa que la regla coincida con la práctica.

¿Basta una hoja de cálculo para la primera auditoría?

Sí, si está completa, con responsables y fechas, y se concilia según un calendario. Una herramienta facilita sobre todo el historial y la comprobación mensual.

¿Con qué frecuencia revisar el registro?

Una conciliación mensual con la lista de identidades es un ritmo habitual en una startup, con una revisión más completa cada trimestre. Elige uno que vayas a cumplir y síguelo.

¿Usar InventorIA nos hace cumplir SOC 2?

No. Guarda los registros que piden los auditores. El cumplimiento depende de tus políticas, tus controles y la opinión del auditor.