Cuestionario SOC2. Nivel de Madurez

¿La empresa cuenta con políticas de seguridad documentadas y aprobadas por la dirección?

¿Se revisan y actualizan las políticas de seguridad de manera periódica?

¿Están las políticas de seguridad accesibles a todos los empleados y partes interesadas?

¿Existen mecanismos formales de control de acceso para garantizar que solo usuarios autorizados puedan acceder a los sistemas críticos?

¿Se utiliza autenticación multifactor (MFA) para acceder a sistemas críticos o sensibles?

¿Se revisan regularmente los privilegios de acceso de los empleados y contratistas para asegurar que son apropiados?

La empresa cuenta con herramientas para monitorear el acceso y el uso de sistemas críticos en tiempo real?

Se implementan sistemas de detección de intrusiones (IDS/IPS) para identificar actividades sospechosas?

¿Los servidores y sistemas críticos están protegidos mediante firewalls y otras barreras de seguridad perimetral?

¿La empresa realiza pruebas de vulnerabilidades o evaluaciones de seguridad regularmente?

¿Se realizan auditorías internas o externas para identificar vulnerabilidades y asegurar que se toman medidas correctivas?

¿Existen procesos para aplicar parches de seguridad y actualizaciones críticas de manera oportuna?

¿Se utiliza cifrado para proteger la información sensible en tránsito y en reposo?

¿Existen políticas de gestión segura de contraseñas, tales como el uso de complejidad y expiración regular?

¿Existe un plan formal de respuesta a incidentes de seguridad que sea conocido por los empleados?

¿Se realiza algún tipo de simulación o ejercicio de respuesta a incidentes de seguridad, como simulaciones de ciberataques?

¿La empresa cuenta con procedimientos para reportar y documentar incidentes de seguridad?

¿Se proporciona capacitación periódica en seguridad de la información a todos los empleados?

¿Se realiza algún tipo de evaluación de la comprensión de las políticas de seguridad por parte de los empleados?

¿Los empleados están familiarizados con los procedimientos para reportar incidentes de seguridad?

¿Existen procesos documentados para la realización de respaldos periódicos de los sistemas críticos?

¿Se realizan pruebas periódicas de recuperación de desastres para garantizar la continuidad del negocio?

¿Los respaldos están cifrados y almacenados en ubicaciones seguras?

¿Se evalúa regularmente la seguridad de los proveedores y terceros que acceden a datos sensibles?

¿Existen acuerdos formales de nivel de servicio (SLA) que incluyan requisitos de seguridad con terceros?

¿Los accesos de terceros a los sistemas están controlados y monitoreados?

¿La empresa realiza auditorías internas de seguridad para revisar el cumplimiento de sus políticas y procedimientos?

¿Se lleva un registro de auditorías, incidentes de seguridad y eventos relevantes para revisión y mejora continua?

¿La empresa cuenta con políticas de seguridad documentadas y aprobadas por la dirección?