SOC 2 es la atestación de la AICPA de que los controles de una organización de servicios cumplen los Trust Services Criteria — Seguridad, Disponibilidad, Integridad del Procesamiento, Confidencialidad y Privacidad. Cuando los agentes ejecutan acciones reales sobre datos de clientes, amplían su perímetro de control. Cortex hace ese perímetro aplicable: identidades acotadas, gestión de cambios, controles de acceso que fallan en modo cerrado y una traza de auditoría con detección de manipulación que el auditor puede probar.
Alineado con los Trust Services Criteria de la AICPA · CC + A + PI + C + P
Un informe SOC 2 es una atestación de una firma de CPA independiente de que sus controles están diseñados adecuadamente (Tipo I) y operan de forma efectiva durante un período (Tipo II). Se organiza en torno a los Trust Services Criteria: los Common Criteria (seguridad, CC1-CC9), más Disponibilidad, Integridad del Procesamiento, Confidencialidad y Privacidad según corresponda. SOC 2 no es una lista de verificación que se aprueba una vez — es un programa de control continuo que un auditor muestrea. Los agentes que leen y escriben datos de clientes quedan de lleno dentro de ese programa. Cortex aporta los controles de acceso, gestión de cambios, monitoreo y registro para la capa de agentes y — de forma singular — hace que el propio registro de auditoría evidencie manipulaciones, de modo que la integridad de su evidencia sea demostrable.
se aplica a ▸ Estados Unidos · organizaciones de servicios · Trust Services Criteria
Los Common Criteria giran en torno al control de acceso, la gestión de cambios, el monitoreo y el registro de auditoría. Cortex aplica cada uno en la capa de agentes y sella la evidencia resultante para que una muestra de Tipo II encuentre controles en operación.
Toda obligación se reduce a una compuerta de runtime con cierre seguro cuyo veredicto queda en un libro de registro a prueba de manipulaciones que puedes entregar a un examinador. Esta es la tabla que un Compliance Pack exporta para este marco.
| Obligación | Control de Cortex aplicado | Evidencia del ledger |
|---|---|---|
| CC6 — controles de acceso lógico y físico | Agent IAM + RBAC | 403 en lectura restringida |
| CC7 — monitoreo del sistema y detección de incidentes | Trust Ledger + Control Tower | verifyChain ▸ ok:true |
| CC8 — gestión de cambios | Simulación de políticas + pruebas golden | aprobadas/total antes de publicar |
| Disponibilidad — resiliencia y recuperación | Límites de costo + interruptor de emergencia + SLA | 402 fuera de presupuesto |
| Integridad del procesamiento — completo, exacto, autorizado | Ciclo de vida de Action Fabric | ejecutada · compensada |
| Los registros son completos y evidencian manipulaciones | Recibos firmados, cadena sellada | hashOk:false señala ediciones |
Un auditor de SOC 2 Tipo II muestrea evidencia a lo largo del período para probar que los controles operaron. Un Compliance Pack asigna los Trust Services Criteria a sus controles en Cortex y exporta los registros de ejecución sellados — y como el ledger está encadenado por hash, la integridad de la propia evidencia es demostrable.
No son promesas de diapositiva: son los códigos y recibos literales que devuelve el runtime cuando lo pones a prueba contra los controles de este marco.
Elige SOC 2. Cortex alinea cada obligación con la compuerta del runtime que la aplica — sin arqueología de hojas de cálculo.
Cada ejecución de agente pasa por las mismas compuertas de cierre seguro. Un control denegado devuelve un código real (402 / 403 / 409), nunca un paso silencioso.
Exporta un Compliance Pack: la tabla de correspondencias más los registros sellados del ledger que muestran que cada control se activó, verificables sin conexión.
SOC 2 es una atestación emitida por una firma de CPA independiente sobre una organización y un período concretos. Cortex está alineado con los Trust Services Criteria y aporta controles y evidencia con detección de manipulación para la capa de agentes; el informe se emite a su organización, no a Cortex.
Cada obligación anterior la aplica una capacidad real del runtime. Explora las que hacen el trabajo para este marco.
Los agentes como identidades gobernadas con listas de permitidos y caducidad materializan los controles de acceso lógico de CC6.
Un registro que evidencia manipulaciones hace que la evidencia de monitoreo de CC7 sea demostrable, no solo existente.
La simulación antes de publicar y las pruebas golden son el control de gestión de cambios de CC8.
Los mismos controles aplicados y la exportación de evidencia en un clic cubren los demás marcos que citan tus auditores.
Alineado con ISO/IEC 42001: las obligaciones, las compuertas de runtime que las aplican y la evidencia que cada una deja en el ledger.
Alineado con HIPAA: las obligaciones, las compuertas de runtime que las aplican y la evidencia que cada una deja en el ledger.
Alineado con NIST AI RMF: las obligaciones, las compuertas de runtime que las aplican y la evidencia que cada una deja en el ledger.
El centro de cumplimiento completo: todos los marcos a los que Cortex se mapea, con el modelo compartido de control a evidencia.
El ledger sellado, los recibos firmados y el grafo de linaje se corresponden con las obligaciones de cada régimen ante el que reportas — alineado con, sin declarar nunca una certificación que no tienes.
Descubre cómo Cortex mapea SOC 2 a controles aplicados y exporta evidencia de nivel auditoría a demanda.