El cumplimiento SOC 2 en Salesforce es un trabajo compartido: Salesforce tiene sus propios informes SOC 2 para sus servicios, y usted es responsable de cómo se configura y se usa su org. Operar en Salesforce no hace que su organización cumpla con SOC 2. Una auditoría SOC 2 examina sus controles y, para la mayoría de las organizaciones, la parte de Salesforce son los accesos, el control de cambios, el monitoreo y las bajas de usuarios.
Esta lista de verificación cubre qué pedirle a Salesforce y qué revisar en su propia org. Es una guía general escrita por especialistas en Salesforce. No es asesoría de auditoría, legal ni de cumplimiento, y su auditor decide qué evidencia necesita.
Qué es SOC 2
El AICPA describe un informe SOC 2 como un examen de los controles de una organización de servicios, basado en la descripción que hace la gerencia de su sistema, y relevante para la seguridad, la disponibilidad, la integridad del procesamiento, la confidencialidad o la privacidad (AICPA, guía de informes SOC 2, consultado en noviembre de 2026). Los clientes y socios de negocio suelen pedir a una organización de servicios su informe SOC 2 porque necesitan saber cómo funcionan sus controles.
Tres puntos que aclaran la mayor parte de la confusión:
- SOC 2 es un informe de auditoría, no un certificado que se compra ni una lista que se aprueba. Una firma independiente de CPA examina los controles y redacta un informe.
- Aplica a una organización de servicios. Si su organización sin fines de lucro o de salud presta un servicio a otros, un cliente o financiador puede pedirle uno. Si solo consume servicios, lo más frecuente es que necesite reunir los informes de sus proveedores.
- El alcance se elige. Las cinco áreas (seguridad, disponibilidad, integridad del procesamiento, confidencialidad, privacidad) no son obligatorias en todos los informes. Cuáles se incluyen forma parte del encargo.
Un informe puede ser Type 2, que incluye pruebas de los controles y sus resultados, como muestra el ejemplo ilustrativo del AICPA (AICPA, informe SOC 2 Type 2 ilustrativo, consultado en noviembre de 2026). Los informes también indican el periodo que cubren, así que revise las fechas cuando lea uno.
Qué cubre Salesforce y qué cubre usted
Salesforce publica documentos de cumplimiento, incluidos informes SOC 2 de sus servicios, en su sitio de Compliance (Salesforce Compliance, consultado en noviembre de 2026). Los informes se listan por servicio, como productos individuales e infraestructura, así que busque los de los productos que realmente usa. La disponibilidad varía: algunos informes se pueden descargar y otros se entregan bajo solicitud a través de su equipo de cuenta.
El modelo de responsabilidad compartida de Salesforce divide el trabajo. Su guía de arquitectura indica que Salesforce protege la infraestructura y las certificaciones de la plataforma, mientras que los clientes protegen lo que configuran y construyen sobre ella, incluidos el acceso, el código personalizado y la gobernanza de los datos (Salesforce Architects, Trust, consultado en noviembre de 2026).
En resumen: el informe de Salesforce le dice a su auditor sobre la plataforma. No le dice si sus usuarios tienen el acceso correcto.
La lista de verificación
Trate cada elemento como una pregunta que debería poder responder con evidencia.
1. Evidencia de proveedores
- ¿Hemos descargado o solicitado los informes SOC 2 de cada producto de Salesforce que usamos?
- ¿Hemos anotado el periodo del informe y revisado las excepciones que enumera?
- ¿Tenemos un registro de en qué fecha los revisamos y quién lo hizo?
- Para las aplicaciones de AppExchange y las integraciones que tocan datos de Salesforce, ¿tenemos sus informes o una garantía equivalente?
2. Acceso de usuarios
- ¿Existe una lista actual de usuarios activos, con un responsable de negocio para cada uno?
- ¿El acceso se otorga mediante una solicitud aprobada, y podemos demostrarlo?
- ¿Seguimos el principio de mínimo privilegio? La guía de Salesforce es otorgar el acceso mínimo necesario a cada usuario, integración y proceso automatizado.
- ¿Quién tiene permisos poderosos como View All Data, Modify All Data, Manage Users y Export Reports? Vea cómo encontrar usuarios con permisos excesivos.
- ¿Se eliminaron los inicios de sesión compartidos y genéricos?
3. Autenticación
- ¿Se exige autenticación multifactor a todos?
- ¿Se usa inicio de sesión único donde existe un directorio central?
- ¿Los usuarios de API y de integración están documentados, limitados y monitoreados?
4. Altas, cambios y bajas
- ¿Podemos mostrar cómo se aprobó el acceso de un usuario nuevo?
- ¿Se revisa el acceso cuando alguien cambia de rol?
- ¿Qué tan rápido se desactiva a quienes se van, y podemos demostrarlo? Nuestra lista de verificación de bajas de usuarios es un punto de partida. Automatizar el proceso puede ayudar, como se explica en aprovisionamiento SCIM para Salesforce.
- ¿Realizamos revisiones periódicas de acceso y conservamos los resultados?
5. Acceso a los datos y uso compartido
- ¿Los valores predeterminados de toda la org están documentados y son los más restrictivos que funcionan? Vea mejores prácticas del modelo de uso compartido.
- ¿Podemos explicar cada regla de uso compartido en una frase?
- ¿Los datos sensibles están limitados a las personas que los necesitan?
6. Gestión de cambios
- ¿Los cambios se hacen en un sandbox, se revisan y luego se despliegan, en lugar de editarse directamente en producción?
- ¿Hay un registro de quién aprobó y publicó cada cambio?
- ¿Los permisos de administrador y desarrollador están limitados y se revisan?
7. Registro y monitoreo
- ¿Qué registros de actividad conservamos y por cuánto tiempo? Los registros de eventos gratuitos de Login y Logout tienen un día de retención en las ediciones compatibles, según Trailhead de Salesforce (Trailhead, Event Monitoring, consultado en noviembre de 2026). Si sus necesidades van más allá, vea si Salesforce Shield vale la pena.
- ¿Quién revisa los registros y con qué frecuencia?
- ¿Existe un proceso para investigar y documentar un evento sospechoso?
8. Políticas y documentación
- ¿Existe una política escrita de control de acceso, y la org coincide con ella?
- ¿Los roles, perfiles, conjuntos de permisos y el uso compartido están documentados en lenguaje sencillo?
- ¿Hay un plan de respuesta a incidentes que nombre a Salesforce como un sistema dentro del alcance?
9. Protección de datos
- ¿Sabemos dónde están los datos sensibles en la org?
- ¿Tenemos un enfoque de respaldo y recuperación, y lo hemos probado?
- ¿Hemos decidido si algún campo necesita cifrado o un historial de auditoría más largo?
La evidencia es lo que piden los auditores
Muchos equipos hacen lo correcto pero no pueden demostrarlo. Arme una carpeta de evidencia sencilla. Para cada control, conserve la política, una captura de pantalla o exportación con fecha, quién lo aprobó y la fecha de revisión. Hacerlo cada trimestre es mucho más fácil que reconstruirlo la semana antes de una auditoría.
Dónde puede ayudar Troppus
Somos una consultora de Salesforce. No somos una firma de auditoría y no tenemos ni emitimos informes SOC 2, por lo que no podemos decir si usted aprueba. Lo que hacemos es revisar el lado de Salesforce. Nuestro Apex Security Check analiza el riesgo de acceso y encuentra permisos excesivos, Onboard360 automatiza el ciclo de vida del usuario con un registro de auditoría, y Security Framework Design ofrece plantillas para roles, perfiles y reglas de uso compartido con documentación lista para auditoría. Vea la página de productos.
Preguntas frecuentes
¿Salesforce cumple con SOC 2?
Salesforce publica informes SOC 2 de sus servicios en su sitio de Compliance. Eso cubre los controles de Salesforce sobre su plataforma. No hace que su propia organización cumpla.
¿Necesitamos nuestro propio informe SOC 2?
Solo si presta un servicio a otros que lo soliciten, como un cliente o un socio. Si solo usa proveedores, en su mayoría necesita reunir y revisar los informes de ellos. Consulte a su asesor legal o a su auditor qué aplica.
¿Cuál es la diferencia entre Type 1 y Type 2?
Un informe Type 2 incluye pruebas de los controles y los resultados durante un periodo. Pida a su auditor que le explique en qué se diferencia un Type 1 para su situación. Los clientes suelen pedir Type 2.
¿Qué configuraciones de Salesforce importan más para SOC 2?
El control de acceso (permisos y uso compartido), la autenticación, las bajas de usuarios, la gestión de cambios y el registro. Estas son también las áreas donde su propia configuración decide el resultado.
¿Puede un administrador prepararse para esto sin productos adicionales?
En buena parte, sí. Salesforce dice que los clientes administran la configuración de seguridad de la plataforma y que muchas responsabilidades pueden manejarlas los administradores sin complementos. Algunas necesidades, como la retención prolongada de la actividad, pueden requerir licencias adicionales.
Empiece con una línea base
Si se está preparando para una revisión de seguridad de un cliente, una pregunta de un financiador o una auditoría, una revisión de accesos y uso compartido es la forma más rápida de encontrar las brechas. Reserve una revisión gratuita de Salesforce.