Una auditoría de SOC 2 Tipo II en tu data center puede prolongarse entre 6 y 9 meses e implicar una inversión de 1.5 a 4 millones de pesos, y el 60% de las empresas que la intentan fracasan en el primer intento por exactamente la misma razón: trataron la auditoría como un proyecto de documentación cuando es un proyecto de operación. La auditoría no evalúa si tienes los controles escritos; evalúa si esos controles operaron de manera consistente durante un período de 3 a 12 meses. Y en un DC en México, la mayoría de los operadores no tienen ni el registro histórico ni la disciplina operativa para demostrarlo.
Este artículo cubre qué busca realmente un auditor de SOC 2 Tipo II en un data center, qué controles fracasan más seguido, y los 4 errores que cometen las empresas mexicanas pensando que el proveedor de colocation ya las tiene cubiertas.
Qué es SOC 2 Tipo II (sin el gloss de los consultores)
SOC 2 es un marco de auditoría desarrollado por el AICPA (American Institute of Certified Public Accountants) que evalúa los controles de una organización de servicios en cinco categorías: seguridad, disponibilidad, integridad de procesamiento, confidencialidad y privacidad. El Tipo I evalúa si los controles están diseñados correctamente en un punto en el tiempo. El Tipo II evalúa si esos controles operaron de manera efectiva durante un período continuo, típicamente 6 a 12 meses.
Para un data center, los controles de mayor relevancia son los de seguridad física (acceso al site, CCTV, control de biometría), disponibilidad (SLA de uptime, redundancia, gestión de incidentes), y confidencialidad (gestión de datos de clientes, segregación lógica, encriptación). La auditoría no certifica que tu DC sea seguro en abstracto; certifica que tus controles operaron consistentemente.
Los 6 controles donde fracasan los data centers en México
En auditorías de DC mexicanos, estos son los controles que más excepciones generan en el informe final:
Log de acceso físico al site con foto, timestamp y quién autorizó la entrada. La auditoría exige que cada visita al data center quede registrada con evidencia (foto del visitante, ID verificado, motivo, quién autorizó). En DCs donde el operador del facility es el mismo que provee el servicio, esto típicamente no existe como control formalizado: hay bitácora de papel o un log digital sin foto.
CCTV con retención mínima de 90 días, timestamps sincronizados, cobertura sin ángulos muertos. El auditor va a muestrear al menos 30 eventos de los últimos 6 meses y pedir la grabación. Si la cámara estuvo offline 2 semanas y nadie se dio cuenta, eso es una excepción. Si la grabación se sobrescribió porque nadie configuró la retención, peor.
Cambios en infraestructura documentados con ticket, aprobador, ventana de cambio, evidencia post-cambio. Esto incluye agregar un servidor a un rack, cambiar la configuración de un switch, hacer un reboot de un UPS, o cualquier modificación de cableado estructurado. La auditoría exige trazabilidad; la realidad de muchos DCs en México es que el técnico hace el cambio y la documentación se actualiza después (o nunca).
Pruebas de recovery (DR) ejecutadas, documentadas, con resultados y remediaciones. El auditor pide evidencia de que el DRP no es solo un documento Word de 80 páginas, sino que se prueba periódicamente. Si tu última prueba de DR tiene más de 12 meses, es una excepción casi automática.
Revisión de logs de seguridad de manera periódica (al menos trimestral) por personal distinto al que opera el sistema. La auditoría busca segregación de funciones: quien opera los controles no puede ser el mismo que los revisa. En DCs pequeños donde una persona hace todo, esto requiere diseñar una segregación aunque sea formal.
Gestión de vulnerabilidades y parches con cadencia documentada. La auditoría exige ver el último scan de vulnerabilidades, la fecha, las vulnerabilidades encontradas, el plan de remediación, y evidencia de que las remediaciones se ejecutaron. Un scan de hace 2 años sin seguimiento es una excepción seria.
Los 4 errores que he visto en DCs mexicanos intentando SOC 2
Asumir que el SOC 2 de tu proveedor de colocation te cubre por completo. Su reporte respalda sus controles de facility, no la operación de tus servidores ni la entrega a tus clientes. El SOC 2 del proveedor cubre los controles de ÉL. Tu SOC 2 (como cliente o como operador) tiene que cubrir TUS controles sobre los servicios que tú operas. Si tú gestionas los servidores, los datos y la entrega al cliente final, necesitas tu propio SOC 2 o un SOC 2 de tu capa de servicio. El del proveedor es input, no salida.
Contratar al auditor antes de tener los controles operando. La secuencia correcta es: diseñar controles, operar los controles durante 3-6 meses (para tener evidencia de operación), y entonces invitar al auditor. La secuencia incorrecta es: invitar al auditor, escribir los procedimientos que el auditor quiere ver, intentar implementarlos mientras la auditoría ya empezó. El segundo enfoque casi siempre termina en informe con excepciones o en no obtener el Tipo II.
Subestimar la gestión de evidencia. La auditoría Tipo II genera cientos de artefactos: logs, tickets, aprobaciones, fotos, reportes, configuraciones. Sin un sistema centralizado de evidencia (no SharePoint con 14 carpetas) el equipo pierde 30-40% del tiempo de la auditoría buscando quién tiene el documento X. Invertir en una herramienta de GRC (Governance, Risk, Compliance) básica, aunque sea de entrada, paga su costo en el primer ciclo de auditoría.
No involucrar al equipo técnico hasta que la auditoría ya empezó. Los controles de SOC 2 los opera el equipo técnico, día a día. Si ellos no entienden qué se está auditando ni por qué, los controles se degradan: la bitácora se llena mal, los tickets se cierran sin documentar, los parches se posponen. La adopción operativa de SOC 2 se construye ANTES, no durante.
Cuánto cuesta realmente pasar SOC 2 Tipo II en México
Tres partidas principales, que la mayoría de los operadores subestima:
Auditoría externa (Big 4 o firma boutique con experiencia en DC): entre 800,000 y 2,000,000 de pesos para un DC mediano, dependiendo de la complejidad y el número de controles. Incluye el trabajo de campo, muestreo, y emisión del informe.
Asesoría de preparación (opcional pero casi siempre necesaria en el primer intento): entre 400,000 y 1,200,000 de pesos. Un consultor con experiencia te ayuda a diseñar los controles, redactar procedimientos, y entrenar al equipo. No es un gasto, es la diferencia entre pasar al primer intento y gastar el doble en el segundo.
Tiempo del equipo interno: típicamente 0.5 a 1 FTE durante 6 meses, más 0.2 FTE durante el período auditado. Si lo tercerizas completo, no estás aprendiendo a operar los controles, y la siguiente auditoría será igual de cara.
El veredicto
SOC 2 Tipo II no es un sello para vender; es una evidencia operativa de que tu data center opera con disciplina. Para data centers que sirven a clientes enterprise en México (bancos, fintechs, retailers con datos de tarjetas, aseguradoras), se ha vuelto un requisito de entrada al RFP, no un diferenciador. La pregunta no es si lo vas a necesitar, sino cuánto te va a costar no haberlo empezado a operar ya. Un DC que no tiene SOC 2 en 2026, en los segmentos enterprise, simplemente no está en la lista corta de proveedores. Y en la lista corta es donde se firma el 80% de los contratos.
Fuentes
[1] AICPA — SOC 2 Reporting on an Examination of Controls at a Service Organization — https://www.aicpa.org/topic/assuranceadvisory/soc-2
[2] ISO/IEC 27001:2022 — Information security management systems (crosswalk con SOC 2) — https://www.iso.org/standard/27001
[3] Uptime Institute — Operational Sustainability Tier Standard (overlap con SOC 2 disponibilidad) — https://uptimeinstitute.com/resources/asset/operational-sustainability
[4] NIST SP 800-53 Rev. 5 — Security and Privacy Controls for Information Systems and Organizations — https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final
[5] CNBV — Disposiciones de carácter general aplicables a las instituciones de crédito (obligaciones de proveedores de DC) — https://www.gob.mx/cnbv
¿Quieres dominar este tema?
Noxtel Academy →
