Los Controles de Organización de Servicios (SOC) son un estándar desarrollado por la Asociación de Contadores Públicos Certificados Internacionales (AICPA) para hacer cumplir la implementación de criterios de servicios de confianza de seguridad, disponibilidad, privacidad, confidencialidad e integridad de procesamiento.

Estos informes están destinados a satisfacer las necesidades de una amplia gama de usuarios que requieren información detallada y garantías sobre los controles en las organizaciones de servicios.

Estos pueden ser relevantes para la seguridad, disponibilidad e integridad de procesamiento de los sistemas que la organización de servicios utiliza para procesar los datos de los usuarios y la confidencialidad y privacidad de la información procesada por estos sistemas.

Estos informes pueden desempeñar un papel importante en:

• Supervisión de la organización
• Programas de gestión de proveedores
• Procesos internos de gobernanza corporativa y gestión de riesgos
• Supervisión regulatoria

La organización puede adaptar sus necesidades de servicio al conjunto de criterios proporcionados por AICPA para demostrar que los controles de TI están implementados para mitigar y eliminar los riesgos asociados con la prestación de servicios.

Se requiere que una empresa que cumple con SOC 2 demuestre cómo se han implementado los controles de TI y los procedimientos operativos para garantizar que los datos del cliente cumplan con los criterios de Servicios de Confianza elegidos.

Normalmente, las organizaciones de servicios que procesan o almacenan datos sensibles para sus clientes deben cumplir con los requisitos de SOC 2.

Este estándar es un estándar internacional requerido por muchas empresas diferentes, independientemente de su tamaño o sector.

Veriff ha demostrado, a través de la emisión del informe SOC 2 Tipo 2 por un auditor externo de AICPA, que se han implementado controles generales de TI.

Esto asegura que el servicio entregado a nuestros clientes está asegurado para el Servicio del Sistema de Verificación de Identidad, cumpliendo con los Criterios de Servicios de Confianza de Seguridad, Disponibilidad y Confidencialidad.

Esto se desglosa de la siguiente manera:

Seguridad

El sistema está protegido contra el acceso no autorizado (tanto físico como lógico).

En este sentido, nuestras mejores prácticas son:

• Veriff implementará las medidas físicas, técnicas y organizativas apropiadas para garantizar la seguridad del servicio y proteger los datos del cliente de modificaciones, divulgaciones, adquisiciones, destrucción, pérdida, robo, uso indebido, alteración o acceso no autorizado.
• Veriff notificará a los clientes en caso de un incidente de seguridad, sin demora indebida, y realizará una investigación y tomará medidas para remediar cualquier incumplimiento en el procesamiento de datos.

Estamos cumpliendo con los siguientes Requisitos Estándar del Sistema para:

• Acceso lógico
• Acceso físico
• Provisionamiento y desprovisionamiento de empleados
• Revisiones de acceso
• Encriptación
• Gestión de riesgos y vulnerabilidades
• Normas de manejo de incidentes
• Gestión de cambios
• Gestión de proveedores

Disponibilidad

El sistema está disponible para operación y uso según lo comprometido o acordado.

Las políticas y procedimientos de recuperación ante desastres y continuidad del negocio están en su lugar, junto con prácticas operativas para asegurar la disponibilidad del servicio.

Estamos cumpliendo con los siguientes Requisitos Estándar del Sistema para:

• Monitoreo del sistema
• Estándar de respaldo y recuperación
• Protecciones físicas y ambientales

Confidencialidad

La información que se designa como “confidencial” se protege de acuerdo con la política o el acuerdo.

Nuestras mejores prácticas son:

• Veriff mantendrá los datos de los clientes en confidencialidad según el Acuerdo de Servicio firmado con los clientes de Veriff.
• Veriff tratará los datos de los clientes con el mismo grado de cuidado que otorga a su propia información confidencial de igual tipo.
• Veriff ha implementado un manejo de ciclo de vida de datos determinista. Veriff, dentro de un número acordado de días después de la fecha de terminación de los servicios, eliminará y usará todos los esfuerzos razonables para procurar la eliminación de todas las demás copias de los datos del cliente procesados por Veriff o cualquier subprocesador.

Estamos cumpliendo con los siguientes requisitos para:

• Clasificación de datos
• Normas de retención y destrucción
• Normas de manejo de datos
• Normas de confidencialidad internas
• Normas de intercambio de información

Componentes del sistema para proporcionar los servicios

Infraestructura

Veriff ha diseñado y ofrece sus servicios utilizando una arquitectura de sistema totalmente alojada en la nube. Por diseño, no se almacenan datos en las instalaciones de Veriff. Veriff utiliza Amazon Web Services (AWS) para proporcionar los recursos para alojar el Servicio de Verificación de Identidad en Línea de Veriff.

La empresa aprovecha la experiencia y los recursos de AWS para escalar de manera rápida y segura según sea necesario para satisfacer la demanda actual y futura.

Sin embargo, la empresa es responsable de diseñar y configurar la arquitectura del Servicio de Verificación de Identidad en Línea de Veriff dentro de AWS para asegurar que se cumplan los requisitos de disponibilidad, seguridad y resiliencia.

ISO/IEC 27017:2015 cubre nuestros servicios en la nube.

Software

Consiste en los programas y software que respaldan los Servicios de Verificación de Identidad en Línea de Veriff (sistemas operativos [SO], middleware y utilidades).

Veriff utiliza software y software auxiliar para construir, respaldar, asegurar, mantener y monitorear los Servicios de Verificación de Identidad en Línea de Veriff, como los servicios de almacenamiento simples de AWS (S3), Microsoft Sentinel, Snyk.

La lista de software y software auxiliar utilizados para construir, respaldar, asegurar, mantener y monitorear la Verificación de Identidad en Línea de Veriff.

Más detalles sobre nuestro software se pueden encontrar aquí.

Personas

La empresa desarrolla, gestiona y asegura los servicios de verificación de identidad en línea de Veriff a través de departamentos separados con una clara segregación de roles en la Alta Dirección, Ingeniería, Seguridad de la Información, Gestión de Productos, Recursos Humanos, etc.

Procedimientos

Los procedimientos incluyen los procedimientos automatizados y manuales involucrados en la operación de los Servicios de Verificación de Identidad en Línea de Veriff.

Los procedimientos son desarrollados y documentados por el equipo de Calidad Empresarial junto con los equipos respectivos para una variedad de procesos, incluidos los relacionados con la gestión de productos, ingeniería, operaciones técnicas, seguridad, tecnologías de la información (TI) y RRHH.

Estos procedimientos son redactados en alineación con las políticas generales de seguridad de la información y se actualizan y aprueban según sea necesario para los cambios en el negocio, pero no menos de una vez al año.

Los principales procedimientos en alcance son el acceso lógico y físico, operaciones de sistemas, gestión de cambios y mitigación de riesgos.

Datos

Esto se refiere a las corrientes de transacciones, archivos, almacenamiento de datos, tablas y salidas utilizadas o procesadas por Veriff.

El cliente define y controla los datos que se solicita a los usuarios finales enviar a través de los servicios de Veriff. Los datos personales procesados se almacenan en servidores de Amazon Web Services, ubicados principalmente en la región del EEE. Una vez almacenados en el entorno seguro, los datos son accedidos de forma remota por los clientes de Veriff. Nuestros clientes solo pueden acceder a sus propios datos, lo que significa que hemos implementado prácticas de agrupamiento de datos en todos los cubos de AWS. Como resultado, los clientes no pueden ver los datos de otros clientes. Los datos personales son gestionados, procesados y almacenados de acuerdo con las regulaciones de protección de datos relevantes y otras regulaciones como el GDPR y con requisitos específicos establecidos formalmente en los acuerdos con los clientes.

La empresa ha implementado métodos y protocolos seguros para la transmisión de información confidencial o sensible a través de redes públicas. Las bases de datos que albergan datos sensibles de clientes están encriptadas tanto en reposo como en tránsito.

Veriff procesa datos de acuerdo con su Política de Privacidad.