Fluid Attacks SOC 2 Type II: tres informes anuales consecutivos, con ISO 27001, PCI DSS y GDPR

Más que un hito

Este logro es motivo de orgullo por varias razones: el momento, la tecnología de apoyo, las mejoras internas que exigió y el estándar que establece para el futuro. Igual de importante, Fluid Attacks ve este resultado como el comienzo de una nueva etapa y no como el final de un proyecto. El verdadero desafío ahora es sostener el sistema de gestión, ayudarlo a evolucionar y seguir elevando el rigor de las operaciones de la empresa.

Ese es el verdadero significado del trabajo de aseguramiento cuando se hace bien. Los marcos de confianza no deben funcionar como etiquetas decorativas. Deben forzar mejores decisiones: una definición de alcance más precisa, una titularidad de los controles más clara, prácticas de evidencia más sólidas, mejor documentación y hábitos operativos más resilientes que reflejen autorregulación, madurez y disciplina institucional. En este ciclo, eso es exactamente lo que ocurrió.

Cumplimiento de Fluid Attacks de un vistazo

Tres años consecutivos de SOC 2 Type II

Fluid Attacks ha obtenido un informe SOC 2 Type II cada año desde 2024.

Qué logró Fluid Attacks, con precisión

Al comunicar sobre cumplimiento y aseguramiento, la precisión importa: ISO 27001 y 27701 son certificaciones; ISO 27017 y 27018 son normas complementarias a ISO 27001 y se describen públicamente, con mayor exactitud, como controles alineados con ISO 27001 y 27701; SOC 2 es una atestación; el GDPR es una cuestión de cumplimiento de requisitos legales; y PCI DSS es una validación.

ISO 27001, ISO 27701, ISO 27017 e ISO 27018

Dentro de ese marco, Fluid Attacks obtuvo la certificación ISO/IEC 27001:2022 e ISO/IEC 27701:2019 para su sistema de gestión de seguridad de la información y privacidad. El certificado fue emitido por Kompleye Attestation LLC, que auditó el sistema y confirmó que cumplía los requisitos de las normas pertinentes. Este certificado registra una fecha de registro original del 25 de febrero de 2026, con fecha de vencimiento el 24 de febrero de 2029.

El registro de ISO/IEC 27017:2015 e ISO/IEC 27018:2019 muestra las mismas fechas. La conformidad con estas normas ISO más recientes demuestra la alineación de Fluid Attacks con las configuraciones estándar de seguridad en la nube y con la protección de la información de identificación personal (PII) en los servicios en la nube.

SOC 2 Type II y SOC 3

Fluid Attacks también obtuvo una atestación SOC 2 Type II y un informe SOC 3, ambos para el período del 1 de julio de 2024 al 30 de junio de 2025, con Kompleye como auditor de servicios independiente. El informe SOC 2 evalúa la idoneidad del diseño y la eficacia operativa de los controles de seguridad de las soluciones de seguridad de aplicaciones (AppSec) de Fluid Attacks.

El informe SOC 3 cubre el mismo período y ofrece una declaración de aseguramiento de cara al público sobre la eficacia de esos controles, sin revelar los detalles sensibles contenidos en el informe SOC 2. En 2026, A-LIGN emitió el tercer informe SOC 2 Type II (del 1 de julio de 2025 al 30 de junio de 2026).

PCI DSS v4.0.1

En materia de pagos, Fluid Attacks obtuvo la validación PCI DSS v4.0.1 mediante una Atestación de cumplimiento (Attestation of Compliance, AOC) vinculada al Cuestionario de autoevaluación (SAQ) A-EP, con Internet Security Auditors (IsecAuditors) como asesor de seguridad calificado.

El resultado registró una calificación general COMPLIANT. El modelo de pagos descrito en la documentación es intencionalmente acotado: los datos del titular de la tarjeta son capturados por proveedores de pago externos que cumplen con PCI, y los sistemas de Fluid Attacks no almacenan, procesan ni transmiten por sí mismos datos de cuenta sin procesar.

GDPR

En paralelo, la empresa documentó y fortaleció los controles de privacidad y las estructuras de gobernanza que respaldan el cumplimiento del GDPR, entre ellos un Sistema de Gestión de Información de Privacidad, un Registro de Actividades de Tratamiento, procedimientos para el ejercicio de los derechos de los titulares de datos, un Delegado de Protección de Datos designado, compromisos de notificación de brechas, gobernanza de subencargados del tratamiento y prácticas de privacidad desde el diseño.

Por qué importa esta combinación de marcos

Cada uno de estos marcos aborda una dimensión distinta de la confianza, pero en la práctica se refuerzan entre sí para formar un modelo de aseguramiento más coherente:

• ISO/IEC 27001 establece el sistema de gestión de seguridad de la información. Exige que una organización identifique riesgos, defina controles, asigne responsabilidades y opere un programa estructurado de mejora continua. ISO/IEC 27701 extiende esa lógica a la privacidad, con requisitos relevantes sobre cómo las organizaciones tratan los datos personales como responsables y encargados del tratamiento. ISO/IEC 27017 y 27018 añaden orientación de controles específica para la nube y la privacidad.
  
  

• SOC 2 Type II ofrece aseguramiento de un tercero de que los controles no solo están bien diseñados, sino que además operan de manera eficaz a lo largo del tiempo: una validación operativa acotada en el tiempo que resulta especialmente valiosa para los clientes que quieren evidencia de que los compromisos de seguridad se reflejan en la práctica diaria. SOC 3 lo complementa con una declaración de aseguramiento de alto nivel para audiencias públicas más amplias.
  
  

• PCI DSS se enfoca específicamente en proteger los datos de las tarjetas de pago y los sistemas y procesos que respaldan las transacciones de pago. El GDPR, por su parte, no es en absoluto un marco de certificación, sino un reglamento legal que rige cómo las organizaciones manejan los datos personales y protegen los derechos de las personas.

En conjunto, estos marcos forman un modelo de confianza por capas: gobernanza, aseguramiento operativo, responsabilidad en privacidad, seguridad de pagos y cumplimiento legal que funcionan de manera combinada y no aislada.

Esa complementariedad también fue un factor clave para la auditoría integrada en sí. Como señala Diego, los auditores usaron un enfoque estratégico para mapear y reutilizar evidencia entre los requisitos que se superponen en ISO 27001, SOC 2, GDPR y otros marcos relacionados, lo que redujo las pruebas redundantes, disminuyó la carga administrativa y ahorró tiempo sin debilitar el rigor.

Los proveedores detrás del logro

La confianza en el aseguramiento depende no solo de lo que una empresa dice haber logrado, sino también de quién lo evaluó y bajo qué modelo de acreditación. Fluid Attacks completó este trabajo con el apoyo de tres proveedores clave: Vanta, Kompleye e IsecAuditors. Cada uno desempeñó un papel distinto en la cadena de aseguramiento.

Vanta fue la plataforma de automatización del cumplimiento detrás del esfuerzo. No fue el auditor, pero resultó esencial para que el proyecto fuera manejable. En particular, Vanta adoptó una de las recomendaciones de Fluid Attacks para manejar auditorías que abarcan varios marcos, un detalle que subraya lo inusual que fue este proyecto. Como señala Diego, Vanta agilizó el trabajo al integrarse con herramientas que monitorean los controles de seguridad, mantienen los documentos actualizados y dan a los auditores acceso a la evidencia. En la práctica, eso significó centralizar la recopilación de evidencia, reducir el trabajo manual y ayudar al equipo a reutilizar la información de los controles en varios marcos.

Kompleye cumplió dos funciones distintas. Para SOC, actuó como auditor de servicios independiente, evaluando los controles frente a los Trust Services Criteria del AICPA y emitiendo los informes formales de atestación. Para el informe SOC 2 Type II de 2026, A-LIGN actuó como auditor de servicios independiente. Para ISO, Kompleye Attestation LLC actuó como organismo de certificación, auditando el sistema de gestión y emitiendo los certificados. Esa distinción importa porque “atestación” y “certificación” no son términos intercambiables. La actividad ISO de Kompleye cuenta con el respaldo de la acreditación de ANAB, lo que significa que el propio organismo de certificación está sujeto a supervisión externa. Esa capa adicional de verificación fortalece la credibilidad de los certificados emitidos bajo su autoridad.

IsecAuditors lideró la parte de PCI DSS del proyecto como asesor de seguridad calificado. Ese rol existe dentro del ecosistema del PCI Security Standards Council precisamente para garantizar que las validaciones PCI las realicen firmas independientes con la competencia y la autorización para evaluar si el entorno de pagos y los controles cumplen los requisitos del SAQ aplicable y para emitir una validación formal de cumplimiento. En este proyecto, Isec se encargó de PCI mientras que Kompleye se encargó de SOC e ISO, lo que permitió a Fluid Attacks seguir una estructura de aseguramiento integrada en lugar de una fragmentada.

Cómo se desarrolló el proyecto

El esfuerzo fue ambicioso desde el inicio. Según Diego, la fase de selección implicó evaluar las capacidades y la experiencia de los proveedores. La directriz era clara: encontrar un esquema de proveedores capaz de respaldar un ciclo de auditoría integrado, y no solo una serie de evaluaciones desconectadas. Esa estructura surgió a través de Isec y su socio Kompleye, con Vanta apoyando las operaciones diarias de cumplimiento.

Otro desafío temprano fue definir el alcance de la certificación, que tuvo que acotarse a algo riguroso y manejable. El alcance final se centró en la provisión segura de los planes Essential y Advanced, incluido el tratamiento de datos personales relacionado, una decisión que mejoró el enfoque y la viabilidad sin diluir el valor de la certificación.

En cuanto a PCI, determinar si la ruta de autoevaluación adecuada era SAQ A o SAQ A-EP exigió un análisis técnico y contractual y causó retrasos. No era una distinción trivial. El cuestionario tenía que reflejar la arquitectura real, el flujo de la información de pago y la distribución de responsabilidades entre Fluid Attacks y los proveedores de pago externos.

Una vez que comenzó la ejecución, la colaboración interna se convirtió en uno de los impulsores más fuertes del éxito. Los colaboradores que participaron en las entrevistas de auditoría ayudaron a mantener el flujo del proceso. Al mismo tiempo, la fase de auditoría interna dejó al descubierto una debilidad común en los programas de certificación que a menudo se subestima: las brechas de documentación. Por último, no todos los marcos exigieron el mismo tipo de esfuerzo. Este contraste ilustró cómo un solo proyecto integrado puede abordar a la vez la recertificación de sistemas establecidos y el desarrollo de sistemas de primer ciclo.

Qué mejoró dentro de Fluid Attacks

Uno de los resultados más sólidos de este proyecto es que cambió las prácticas internas, y no solo el estatus externo. El equipo se volvió más disciplinado en cómo recopilaba, conservaba y mapeaba la evidencia. La definición de alcances se volvió más estratégica. Y la empresa mejoró su capacidad de reutilizar evidencia validada en varios estándares, en lugar de manejar cada marco de forma aislada.

El ciclo de auditoría también reforzó una realidad organizacional importante: el cumplimiento significativo no puede tercerizarse por completo. Las herramientas, los auditores y la acreditación importan, pero ninguno puede reemplazar la responsabilidad interna. Los líderes y los miembros del equipo siguen teniendo que participar activamente en las entrevistas, aportar evidencia, responder preguntas difíciles y asumir la responsabilidad de los controles de sus áreas. Diego lo deja especialmente claro: los esfuerzos de certificación integrada de esta magnitud exigen que la propia organización asuma un papel activo de coordinación, en lugar de dejar la estructura del proceso por completo en manos de los proveedores.

Esa responsabilidad interna es parte de lo que hace significativo este hito. Demuestra no solo que Fluid Attacks superó evaluaciones externas, sino que fortaleció los hábitos y sistemas necesarios para sostener el aseguramiento en el tiempo.

Lecciones aprendidas

Varias lecciones de este esfuerzo se destacan y vale la pena mantenerlas visibles para futuros ciclos:

• Definir el alcance de forma estratégica antes de que comience la auditoría. El alcance puede ampliarse gradualmente, siguiendo un conjunto de prioridades, sin intentar cubrir todos los aspectos desde el principio.

• Realizar las auditorías internas con el mismo rigor que las externas. Un informe interno débil socava tanto la preparación del programa como su credibilidad.

• Tratar la experiencia con plataformas de automatización de GRC (gobernanza, gestión de riesgos y cumplimiento) como un criterio explícito de selección de proveedores. En proyectos con varios marcos, la tecnología de apoyo determina qué tan eficientemente se puede recopilar, mapear y revisar la evidencia.

• Identificar y remediar las brechas de documentación desde temprano. Están entre los riesgos más frecuentes y más controlables en los esfuerzos de certificación ISO.

• Asegurar la participación activa de los líderes y de las personas responsables de los procesos incluidos en el alcance, especialmente durante las entrevistas y la recopilación de evidencia.

• Mantener la recopilación de evidencia en marcha entre auditorías. SOC 2 Type II se renueva cada año, y Fluid Attacks ya completó tres ciclos. Sus controles de seguridad están publicados en el Trust Center.

Cómo verificar nuestras certificaciones y solicitar el informe SOC 2

El Trust Center enumera todos los informes y certificados. Los informes SOC 3 y el documento del GDPR son públicos. Los demás documentos requieren acceso, y cada uno está identificado como tal. Solicita el informe SOC 2 Type II con el formulario Request access; se comparte bajo un NDA.

Lo más difícil comienza ahora

Lograr estas certificaciones, atestaciones, validaciones y alineaciones es un hito significativo para Fluid Attacks como empresa de AppSec. Pero el objetivo crucial de aquí en adelante es mantenerlas: sostener el sistema de gestión, preservar la calidad de la evidencia, seguir refinando políticas y controles y mantener el compromiso con la seguridad con el nivel de rigor que hizo posible este hito.

La confianza no se construye publicando una lista de marcos. Se construye haciendo el trabajo necesario para ganarlos, eligiendo evaluadores independientes y acreditados, mejorando la disciplina interna y manteniendo ese estándar una vez que termina el ciclo de auditoría. Fluid Attacks ha elevado el listón. El siguiente desafío es mantenerlo y, potencialmente, adoptar futuros marcos para fortalecer aún más la forma en que opera la empresa.

Si te interesa consultar nuestros informes de certificación y acreditación, te invitamos a visitar nuestro Trust Center. Consulta también nuestras certificaciones y soluciones de cumplimiento.

Preguntas frecuentes

¿Fluid Attacks tiene SOC 2 Type II?

Sí. El informe más reciente cubre del 1 de julio de 2025 al 30 de junio de 2026 y fue emitido por A-LIGN.

¿Durante cuántos años consecutivos ha tenido Fluid Attacks SOC 2 Type II?

Tres: 2024, 2025 y 2026.

¿Quién auditó los informes SOC 2 Type II?

A-LIGN (2026), Kompleye (2025) e Insight Assurance (2024).

SOC 2 Type II o SOC 3: ¿cuál es la diferencia?

SOC 2 detalla los controles y las pruebas, y su uso es restringido. SOC 3 es un resumen público breve.

¿Un solo ciclo de auditoría puede cubrir SOC 2, ISO 27001 y PCI DSS?

Sí. Los auditores reutilizan evidencia entre requisitos que se superponen.

¿Cómo puede un cliente solicitar el informe SOC 2?

Usa Request access en el Trust Center. Se comparte bajo un NDA.