SOC 2 Readiness — Plan de Implementación
Documento operativo que traduce el plan estratégico de
resources/move-6-soc2-dpa.mden un programa ejecutable de preparación para SOC 2. Necesario para que Lawra pueda entrar en la conversación con clientes Big Law / Fortune 500 / regulados.
1. Por qué SOC 2
1.1. SOC 2 es el estándar más demandado por clientes B2B en EE.UU. y, crecientemente, en LatAm. Sin SOC 2 (al menos Type 1), el techo enterprise está limitado a solos + small firms.
1.2. Diferenciación con ISO 27001: SOC 2 está más enfocado en SaaS y servicios cloud; ISO 27001 es un estándar más amplio de gestión de seguridad. Recomendado: SOC 2 primero, ISO 27001 después si la base de clientes lo justifica (~70% de controles compartidos).
1.3. — Type 1 vs Type 2: Type 1 audita el diseño de controles en un punto en el tiempo; Type 2 audita la operación de controles durante un período (mínimo 3 meses, típicamente 12). Estrategia recomendada: Type 1 primero (más rápido, ~3 meses); 9–12 meses después, Type 2.
2. Trust Services Criteria — Alcance del Audit
| Criterio | Aplica | Razón |
|---|---|---|
| Security | ✅ Obligatorio | Base de SOC 2 |
| Availability | ✅ Recomendado | Clientes enterprise lo esperan; ya damos SLA |
| Confidentiality | ✅ Recomendado | Datos legales son confidenciales |
| Processing Integrity | 🟡 Opcional Phase 2 | Para AI Suite avanzado donde la integridad del processing es central |
| Privacy | 🟡 Opcional Phase 2 | Cubierto sustancialmente por GDPR/Ley 172-13; redundante en R.D. |
Recomendación: Type 1 con Security + Availability + Confidentiality en Q4 2026.
3. Vendor / Tooling
| Función | Opciones | Recomendación |
|---|---|---|
| Compliance automation | Vanta · Drata · Secureframe · Sprinto | Vanta (más maduro, mejor integración con Firebase / GitHub / Google Workspace) |
| Monthly cost | $300 – $700/mo | ~$400/mo |
| Onboarding | 30–60 días | Asumir 45 días |
| Auditor (CPA firm) | Big 4 (Deloitte, EY, KPMG, PwC) · Mid-market (BPM, A-LIGN, Schellman, Prescient Assurance) · Boutique | A-LIGN o Prescient Assurance (especializadas en startups) |
| Type 1 audit cost | $8K – $15K | $10–12K presupuesto |
| Type 2 audit cost (anual) | $15K – $30K | $20K presupuesto |
| Penetration test | $5K – $15K (anual) | $8K presupuesto |
Costo total Year 1: ~$25K (~RD$ 1.5M) cubriendo: Vanta + Type 1 + pentest.
4. Políticas Requeridas
SOC 2 exige documentación formal. Vanta/Drata proveen plantillas, pero requieren personalización.
| # | Política | Complejidad | Estado actual |
|---|---|---|---|
| 1 | Information Security Policy | Media | 🔴 Pendiente |
| 2 | Access Control Policy | Media | 🔴 Pendiente |
| 3 | Incident Response Plan | Alta | 🔴 Pendiente |
| 4 | Business Continuity / Disaster Recovery Plan | Alta | 🔴 Pendiente |
| 5 | Vendor Management Policy | Media | 🟡 Parcial (Anexo 1 del DPA) |
| 6 | Acceptable Use Policy (AUP) | Baja | 🟡 Borrador en Sprint 4 (aup) |
| 7 | Data Classification + Handling Policy | Media | 🟡 Parcial (Política Datos + DPA) |
| 8 | Secure SDLC Policy | Alta | 🔴 Pendiente |
| 9 | Change Management Policy | Media | 🔴 Pendiente |
| 10 | Backup & Recovery Policy | Media | 🔴 Pendiente |
| 11 | Encryption Policy | Baja | 🔴 Pendiente |
| 12 | Password Policy / MFA Policy | Baja | 🔴 Pendiente |
| 13 | Background Check Policy (empleados) | Baja | 🔴 Pendiente |
| 14 | Onboarding / Offboarding Policy | Media | 🔴 Pendiente |
| 15 | Risk Assessment Policy | Alta | 🔴 Pendiente |
| 16 | Information Security Awareness Training Policy | Baja | 🔴 Pendiente |
5. Controles Técnicos Requeridos
| # | Control | Estado actual | Acción |
|---|---|---|---|
| 1 | MFA enforcement en todas las cuentas administrativas | ✅ Google / Firebase soportan | Activar para cuentas internas; documentar |
| 2 | HTTPS / TLS 1.2+ en todo el sitio | ✅ | Documentar |
| 3 | Cifrado en reposo (Firestore: AES-256 por defecto) | ✅ | Documentar |
| 4 | Audit logs de accesos a Datos Personales | 🟡 Firestore audit logs disponibles | Activar y configurar retención de 12 meses |
| 5 | Backups verificados periódicamente | 🟡 Firebase backups automáticos | Documentar proceso de restauración + test trimestral |
| 6 | Vulnerability scanning (dependencias) | 🟡 Dependabot en GitHub | Activar + revisión mensual documentada |
| 7 | Penetration testing anual | 🔴 No realizado | Contratar Q2 2026 |
| 8 | Endpoint security en laptops del equipo | 🔴 Sin política | Adoptar (CrowdStrike / SentinelOne / Microsoft Defender for Business) |
| 9 | Inventory de assets | 🔴 Sin sistema | Vanta lo provee automáticamente |
| 10 | Vendor security questionnaires | 🔴 Sin proceso | Implementar para nuevos vendors |
| 11 | Background checks en empleados | 🔴 N/A (sin empleados aún) | Adoptar antes del primer empleado |
| 12 | Tabletop exercise de incident response | 🔴 No realizado | Anual (mínimo) |
| 13 | Onboarding/offboarding workflows | 🔴 Sin proceso formal | Implementar antes del primer empleado |
| 14 | Data Loss Prevention (DLP) | 🔴 Sin sistema | Considerar Google Workspace DLP rules |
| 15 | Secrets management | 🟡 Variables de entorno + GCP Secret Manager | Documentar; rotación trimestral |
6. Sub-procesadores — Lista pública
Requerido por SOC 2 + GDPR Art. 28. Mantener actualizado en
lawra.io/legal/sub-processors/.
| Sub-procesador | Función | Jurisdicción | Cobertura cumplimiento | DPA firmado |
|---|---|---|---|---|
| Google LLC (Firebase, Cloud, Gemini) | Auth, DB, AI, hosting fallback | EE.UU. | SOC 2, ISO 27001, ISO 27017, ISO 27018, HIPAA-eligible | ✅ Estándar Google |
| Anthropic, PBC | Inferencia de IA (cuando integrado) | EE.UU. | SOC 2 Type 2 | 🔴 Por firmar |
| GitHub, Inc. (Microsoft) | Hosting estático | EE.UU. | SOC 1, SOC 2, ISO 27001 | ✅ ToS Microsoft |
| Cloudflare, Inc. (cuando aplique) | CDN | Global | SOC 2, ISO 27001 | 🔴 Por firmar si aplica |
| Resend / SendGrid (newsletter) | Email transaccional | EE.UU. | SOC 2 | 🔴 Por firmar cuando se adopte |
| OpenAI (cuando integrado) | Inferencia de IA | EE.UU. | SOC 2 Type 2 | 🔴 Por firmar |
7. Roadmap
| Semana | Hito | Responsable |
|---|---|---|
| 0 | Decisión de iniciar SOC 2 + presupuesto aprobado | Asamblea |
| 1 | Contratación Vanta + onboarding técnico | Gerente / CTO |
| 2 | Vanta scan inicial — surface gaps | Vanta |
| 3–4 | Redacción de políticas (con ayuda de plantillas Vanta) | Gerente + abogado |
| 5–6 | Implementación de controles técnicos faltantes (MFA, audit logs, DLP, etc.) | Eng |
| 7 | Adopción formal de políticas por la Asamblea (acta complementaria) | Asamblea |
| 8 | Capacitación interna de empleados / contratistas | Gerente |
| 9 | Selección y contratación del auditor CPA | Gerente |
| 10 | Pre-audit readiness review con Vanta + auditor | Vanta + auditor |
| 11–12 | Audit fieldwork (Type 1) | Auditor |
| 13 | Type 1 report emitido | Auditor |
| 13 | Publicar /about/security/soc2/ con cert details + report (bajo NDA) | Gerente |
| +9 meses | Recolección continua de evidencia para Type 2 | Vanta automatiza |
| +12 meses | Audit Type 2 | Auditor |
| +15 meses | Type 2 report emitido | Auditor |
| +15 meses | ISO 27001 si justifica (reuso ~70% controles) | Decisión Asamblea |
8. Comunicación Pública
8.1. Mientras se trabaja hacia Type 1, publicar en /about/security/:
“SOC 2 Type 1 in progress (target Q4 2026). DPA, sub-processor list, and incident response plan published. Customer-grade security from solo to enterprise — without enterprise procurement friction.”
8.2. Tras Type 1: enlazar el certificado y proveer el report bajo NDA estándar (NDA bilateral existente).
8.3. Trust center page con: SOC 2 status · Sub-processor list · DPA template · Privacy policy · Cookie policy · Security contact · Bug bounty (cuando se adopte).
9. Decisión Pendiente
Decisión que requiere aprobación de la Asamblea:
- ¿Iniciar SOC 2 ahora? Costo Year 1: ~$25K. Ventaja: desbloquea pipeline enterprise. Riesgo: distracción si pre-revenue. Recomendación: iniciar cuando exista al menos un prospect enterprise concreto o cuando la Asamblea apruebe el budget como inversión proactiva.
Nota: Este documento es operativo, no jurídico. Las plantillas de políticas se adaptarán según el output de Vanta + revisión legal. La adopción formal por la Asamblea consta en el Libro de Actas.
Comments
Loading comments...