SOC 2 Tipo II e ISO 27001: cómo WizyVision protege tus datos de campo

Cada día, miles de trabajadores de campo abren una aplicación de WizyVision en un teléfono o en un dispositivo de uso industrial. Fotografían una tarima dañada, escanean un número de serie, completan una lista de verificación de inspección en una instalación de gas o registran una prueba de entrega en la puerta de un cliente. Cada una de estas acciones genera datos operativos —a veces de carácter sensible— que salen del almacén, la planta o el depósito en el bolsillo de alguien.

Por eso, para la mayoría de nuestros clientes, la primera reunión seria con el departamento de TI no gira en torno a las funcionalidades, sino a la confianza. ¿Dónde se alojan los datos? ¿Quién tiene acceso a ellos? ¿Qué sucede si se pierde un teléfono, si un empleado abandona la empresa o si un proveedor sufre un incidente de seguridad? Hasta hace poco, nuestra respuesta se basaba en nuestra documentación, nuestra certificación ISO 27001 y una gran cantidad de cuestionarios de seguridad.

A partir de ahora, también se respalda en un informe de auditoría independiente que cualquiera puede solicitar: Wizy Solutions SAS ha completado su auditoría SOC 2 Tipo II. A continuación, explicamos qué significa esto y cómo se integra en un enfoque de seguridad más amplio que comienza por la propia aplicación de campo.

WizyVision cuenta ahora con un informe SOC 2 Tipo II, además de la certificación ISO 27001:2022.

Wizy Solutions SAS ha obtenido un informe SOC 2 Tipo II, elaborado por un auditor independiente, para WizyVision y Wizy EMM. La auditoría evaluó si los controles de seguridad de WizyVision y las categorías de servicios de confianza correspondientes estaban diseñados de manera adecuada y si funcionaban con eficacia durante el período analizado.

Este informe complementa nuestra certificación ISO/IEC 27001:2022, la norma internacional para los sistemas de gestión de la seguridad de la información. Ambos son complementarios: la norma ISO 27001 certifica la existencia de un sistema de gestión de la seguridad estructurado y en continua mejora, mientras que el informe SOC 2 Tipo II ofrece la opinión de un auditor sobre cómo han funcionado, en la práctica y a lo largo del tiempo, determinados controles específicos.

Nos preparamos para ambas auditorías con Bastion Technologies, una plataforma de cumplimiento que también alberga nuestro Centro de Confianza (Trust Center) público. Actualmente, en ella se encuentran documentados y bajo supervisión continua 198 controles de seguridad distribuidos en 28 dominios, que abarcan desde el control de acceso y la criptografía hasta la continuidad del negocio y la gestión de proveedores.

Lo que esto supone para los clientes, en términos prácticos:

• Pruebas independientes, no solo una promesa. Un auditor externo —y no WizyVision— evaluó si nuestros controles funcionan.
• Revisiones de seguridad más breves. Sus equipos de TI y de adquisiciones pueden partir de un informe auditado en lugar de un cuestionario en blanco.
• Transparencia total. Puedes solicitar tanto el informe de auditoría ISO 27001 como la carta de referencia SOC 2 Tipo II a través de nuestro Centro de Confianza (Trust Center), al cual cualquier persona puede acceder.
• Un compromiso continuo. Supervisamos los controles de forma permanente; no se trata de algo que se hace una sola vez para luego dejarlo archivado.

¿Por qué la seguridad de los proveedores se ha convertido en un criterio de compra en 2026?

Los cuestionarios de seguridad no son burocracia por el simple hecho de serlo. Reflejan un cambio real en el origen de los ataques y en lo que los organismos reguladores esperan ahora de las empresas que adquieren software.

Actualmente, terceros están involucrados en casi la mitad de todas las brechas de seguridad.

La edición de 2026 del Data Breach Investigations Report de Verizon, basada en más de 22 000 incidentes de seguridad confirmados, reveló que un tercero estuvo involucrado en el 48 % de los casos, frente al 30 % registrado en la edición anterior. 1

En otras palabras, su seguridad depende ahora, en parte, de la seguridad de cada herramienta SaaS que conecte a su sistema de información. Una plataforma para operaciones en campo que recibe fotografías, ubicaciones, referencias de activos y resultados de inspecciones no es una excepción.

Las brechas de seguridad son cada vez más costosas y su contención, más lenta.

El informe de IBM de 2026 sobre el costo de una brecha de datos sitúa el costo promedio global de un incidente de este tipo en 4,99 millones de dólares, lo que representa un aumento del 12 % respecto al año anterior. El tiempo promedio necesario para identificar y contener una brecha también aumentó, alcanzando los 247 días; se trata del primer incremento registrado en cinco años. 2

El mismo informe pone de relieve un riesgo que los responsables de operaciones sobre el terreno conocen bien: las herramientas sin gobernanza. Los incidentes relacionados con la «IA en la sombra» (shadow AI) aumentaron hasta afectar al 43 % de las organizaciones estudiadas —frente al 20 % del año anterior—, y el 68 % de las organizaciones seguía sin contar con una política de gobernanza de la IA.

Los dispositivos móviles y los trabajadores de primera línea son ahora objetivos principales.

Los equipos de campo trabajan con dispositivos móviles —a menudo compartidos y, con frecuencia, fuera de la red corporativa—. El informe de 2026 de Verizon señala que las tasas de clics en ataques de phishing son aproximadamente un 40 % más altas en dispositivos móviles, lo que convierte a los teléfonos en el nuevo objetivo preferido de los atacantes. El informe también reveló que el 67 % de los usuarios accedió a servicios de IA a través de cuentas no corporativas en dispositivos de la empresa.

Por tanto, una aplicación para uso en campo debe ser segura desde su diseño: autenticación robusta, permisos basados en roles, transmisión cifrada y control centralizado, de modo que la seguridad no dependa de la vigilancia de cada trabajador.

La regulación está trasladando la responsabilidad hacia arriba en la cadena de suministro.

En Europa, la Directiva NIS2 exige a las entidades esenciales e importantes que gestionen los riesgos de ciberseguridad en sus relaciones con proveedores directos y prestadores de servicios, conforme al artículo 21, apartado 2, letra d), de la Directiva (UE) 2022/2555 del Parlamento Europeo. En la práctica, esto implica establecer requisitos de seguridad contractuales, realizar evaluaciones de riesgos de los proveedores y contar con pruebas de auditoría. 3

• En Francia, el proyecto de ley que transpone la directiva NIS2 (junto con el reglamento DORA y la directiva sobre entidades críticas) tiene previsto su debate en la Asamblea Nacional a partir del 7 de octubre de 2026. Según la ANSSI, la agencia nacional de ciberseguridad de Francia, los equipos periféricos (edge equipment) y las infraestructuras críticas —como las de los sectores de la energía y las telecomunicaciones— siguieron siendo objetivos prioritarios en 2025. 4
• En el Reino Unido, el Proyecto de Ley de Ciberseguridad y Resiliencia (Cyber Security and Resilience Bill) fue presentado ante la Cámara de los Lores en junio de 2026. Esta normativa amplía su alcance a los proveedores de servicios gestionados y a los centros de datos, faculta a los organismos reguladores para designar proveedores críticos e introduce la obligación de notificar los incidentes en un plazo inicial de 24 horas. 5

Sin embargo, la supervisión de los proveedores sigue siendo la excepción. En el informe Cyber Security Breaches Survey 2025/2026 del gobierno del Reino Unido, el 43 % de las empresas (y el 69 % de las grandes empresas) declararon haber sufrido una brecha o un ataque en los últimos doce meses. Aun así, solo el 15 % había evaluado los ciberriesgos que plantean sus proveedores directos. Los proveedores auditados hacen que esa revisión sea mucho más sencilla. 6

Por último, la Ley de IA de la UE añade una capa de gobernanza para los sistemas basados en inteligencia artificial. Según el acuerdo provisional alcanzado en junio de 2026, se prevé que las obligaciones relativas a los sistemas de alto riesgo independientes pasen a ser exigibles en diciembre de 2027. No obstante, la tendencia es clara: los compradores preguntarán cada vez más cómo se gobiernan, registran y controlan las funcionalidades de IA.

SOC 2 Tipo II frente a ISO 27001: qué demuestra realmente cada una

A menudo, las personas confunden ambos marcos de referencia y, en ocasiones, los presentan como intercambiables. No lo son. Responden a preguntas distintas, razón por la cual resulta útil contar con ambos.

¿Qué es SOC 2?

SOC 2 (System and Organisation Controls 2) es un marco de certificación definido por el American Institute of Certified Public Accountants (AICPA). Un auditor independiente examina los controles de una organización de servicios conforme a los Criterios de Servicios de Confianza (Trust Services Criteria): seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad.

Existen dos tipos de informes:

• Un informe de Tipo I evalúa si los controles están diseñados de manera adecuada en un momento determinado.
• Un informe de Tipo II va más allá: evalúa si dichos controles funcionaron de manera eficaz a lo largo de un periodo, por lo general de varios meses, a partir de muestras y pruebas recopiladas durante ese periodo.

SOC 2 es, técnicamente, una atestación, no una certificación. Su resultado es un informe detallado que el cliente lee y evalúa en función de sus propios requisitos.

¿Qué es la norma ISO 27001?

La norma ISO/IEC 27001 es el estándar internacional para los sistemas de gestión de la seguridad de la información (SGSI), publicado por la ISO y la IEC. Esta norma exige que la organización defina el alcance de su SGSI, evalúe sus riesgos, seleccione e implemente los controles adecuados (enumerados en el Anexo A) y realice una mejora continua. La versión vigente es la ISO/IEC 27001:2022.

Un organismo de certificación acreditado otorga la certificación tras una auditoría; posteriormente, esta se mantiene mediante auditorías de seguimiento anuales y una auditoría completa de recertificación cada tres años.

Tabla comparativa

En resumen, la norma ISO 27001 demuestra que la seguridad está organizada y gestionada; el informe SOC 2 Tipo II, por su parte, acredita que los controles son eficaces en la práctica. En conjunto, responden a la mayoría de las preguntas que un equipo de TI, seguridad o adquisiciones plantearía a un proveedor de servicios de operaciones en campo.

Lo que verificaron las auditorías en WizyVision: los controles que respaldan las credenciales

Un certificado solo es tan útil como los controles que lo respaldan. Los 198 controles de WizyVision figuran de forma pública en nuestro Centro de Confianza (Trust Center). A continuación, presentamos aquellos que resultan más relevantes para los clientes, agrupados por temática.

Control de acceso: las personas adecuadas, y solo ellas

El acceso a sistemas sensibles requiere autenticación multifactor; además, empleamos un sistema de inicio de sesión único (single sign-on) para los sistemas internos sensibles siempre que sea posible. Concedemos el acceso siguiendo el principio de «menor privilegio» mediante permisos basados en roles, previa solicitud documentada y aprobada por un responsable. El acceso administrativo está restringido a un número reducido de personas que cuentan con una necesidad claramente definida, y revisamos trimestralmente el acceso a los sistemas que contienen información confidencial de los clientes. Cuando un empleado abandona la organización, un protocolo de salida garantiza que se devuelva el equipo y que todos sus accesos sean revocados de manera inmediata y completa.

Protección de datos: cifrados, respaldados y eliminados cuando corresponde

Los almacenes de datos se cifran en reposo, y los datos en tránsito a través de la internet pública se cifran mediante algoritmos que cumplen con los estándares del sector. Evaluamos la configuración de TLS anualmente y corregimos de inmediato cualquier calificación inferior a «A». Los datos de los clientes se respaldan de forma automática; dichas copias de seguridad se cifran, se almacenan en regiones geográficamente independientes y están protegidas por los mismos controles de acceso que el sistema original. Clasificamos todos los datos y conservamos la información de los clientes conforme a un procedimiento documentado; una vez transcurrido el periodo de retención, procedemos a su eliminación segura.

Desarrollo seguro: cada cambio revisado, cada entorno separado

Mantenemos separados los entornos de producción y los que no lo son. Una segunda persona con perfil técnico revisa y aprueba cada cambio en las aplicaciones y en la infraestructura antes de que pase a producción. Integramos la gestión de cambios en nuestras herramientas de integración y despliegue continuos para reducir el error humano y garantizar que los cambios sean auditables. Gestionamos la infraestructura como código, analizamos el código fuente mediante herramientas de análisis estático, actualizamos los parches del sistema operativo y las imágenes de contenedor al menos una vez por semana, realizamos escaneos continuos de vulnerabilidades y contamos con una empresa independiente que lleva a cabo una prueba de penetración anual en el sistema de producción.

Monitoreo y respuesta ante incidentes: detectar, reaccionar, aprender

Los registros de aplicaciones y sistemas se envían a un repositorio centralizado; los eventos de seguridad se clasifican y revisan para detectar actividades no autorizadas o maliciosas. Existe un programa formal de gestión de incidentes de seguridad que define roles, responsabilidades y procedimientos de comunicación, el cual se somete a pruebas al menos una vez al año. Cada incidente se registra y se analiza mediante un informe posterior al suceso («post-mortem»). Los clientes pueden consultar el estado del servicio a través de una página pública y reciben información sobre los cambios en el sistema mediante un canal establecido.

Continuidad del negocio: preparados para el peor escenario

WizyVision mantiene un plan de continuidad del negocio y realiza una prueba anual de recuperación ante desastres, con objetivos de tiempo de recuperación predefinidos, asumiendo una interrupción total de nuestra región principal en la nube. Las instalaciones de procesamiento están diseñadas con la redundancia suficiente para cumplir con los requisitos de disponibilidad.

Proveedores y personas: seguridad más allá de nuestros propios muros

En consonancia con los requisitos de la directiva NIS2, mantenemos un inventario de proveedores, clasificamos los datos que estos procesan, evaluamos a aquellos que gestionan información confidencial de los clientes y supervisamos su nivel de seguridad de forma continua. Todos los empleados y contratistas firman un acuerdo de confidencialidad antes de acceder a información sensible; asimismo, realizamos verificaciones de referencias cuando la ley lo permite, y la formación en materia de seguridad forma parte de las funciones de todo el personal. Un responsable de seguridad designado asume la responsabilidad general de la seguridad de la información, bajo la supervisión de la dirección y del Consejo de Administración.

Seguridad desde el diseño en la propia aplicación de campo

Las auditorías abarcan a toda la organización. Sin embargo, en el caso de una plataforma para operaciones en campo, la seguridad también debe funcionar en el almacén, en las instalaciones operativas y en un gasoducto, a menudo sin cobertura.

Datos de campo capturados, trazables y difíciles de refutar

Cada foto, escaneo o formulario registrado en una aplicación de WizyVision puede incluir geolocalización y marca de tiempo, lo que genera una prueba visual muy difícil de refutar. Esto permite a los clientes documentar el estado de las mercancías al recibirlas, acreditar su entrega o demostrar el cumplimiento de requisitos durante una auditoría.

Modo sin conexión sin perder el control

Los equipos de campo pueden seguir trabajando incluso en zonas de un almacén sin cobertura. La aplicación móvil nativa de WizyVision prioriza el funcionamiento sin conexión: almacena los datos localmente en el dispositivo, los pone en cola y, una vez restablecida la conexión, los sincroniza en segundo plano. La captura de información continúa sin interrupciones y los datos terminan integrados en la misma plataforma gestionada, en lugar de acabar en una hoja de cálculo o en la galería de fotos personal de un empleado.

Gobernanza: el no-code no es TI en la sombra (shadow IT)

La preocupación que los equipos de TI plantean con mayor frecuencia respecto al desarrollo «sin código» (no-code) es legítima: ¿crearán los equipos de negocio aplicaciones que nadie controle? En WizyVision, las aplicaciones se definen mediante configuraciones (campos, reglas de validación, flujos de trabajo, estados) que pueden ser consultadas por cualquier persona con los permisos adecuados, en lugar de quedar confinadas en el código de un solo individuo. Los usuarios, roles, permisos y registros de auditoría son gestionados de forma centralizada por los administradores. Así, los equipos de negocio ganan autonomía, mientras que TI mantiene el control.

Los datos tampoco permanecen aislados. Las API REST con control de versiones y los webhooks incorporan datos de campo a sus sistemas ERP, WMS o herramientas de BI.

RGPD y alojamiento de datos

WizyVision SAS tiene su sede en París y ha designado a un Delegado de Protección de Datos. La plataforma funciona sobre la infraestructura de Google Cloud Platform. Nuestra política de privacidad enumera a nuestros sub encargados del tratamiento, explica durante cuánto tiempo se conservan los datos (mientras dure el servicio y, posteriormente, durante doce meses tras su finalización) y cómo solicitar su supresión. Los compromisos contractuales de ambas partes en materia de seguridad y confidencialidad se detallan en nuestros términos de servicio y en nuestro Contrato Marco de Servicios.

Una IA gobernada, no improvisada

WizyVision utiliza IA para evitar la necesidad de introducir datos manualmente sobre el terreno: reconocimiento de caracteres (OCR), de códigos de barras y de etiquetas, análisis de imágenes y generación de aplicaciones a partir de una descripción en lenguaje natural. Esta IA opera dentro de una plataforma controlada, sujeta a los mismos permisos, registros de actividad y controles de datos que el resto del sistema. Algunos modelos se ejecutan directamente en el dispositivo, lo que permite que la captura de datos siga funcionando sin necesidad de realizar una conexión con la nube.

La seguridad en entornos regulados y sensibles: cómo se manifiesta en la práctica

Las certificaciones formalizan prácticas que nuestros clientes han probado durante años en entornos exigentes.

Sector nuclear: captura segura de imágenes en Orano

Orano gestiona el ciclo del uranio, desde la extracción hasta el reciclaje. Las fotografías tomadas en instalaciones nucleares sensibles carecían de una protección adecuada, lo que suponía un riesgo de fuga de datos; ante esto, el grupo planeaba desarrollar su propia aplicación móvil para la captura de imágenes. En pocas semanas, los equipos de ciberseguridad de Orano validaron e implementaron la aplicación WizyVision, configurada de tal manera que ninguna fotografía queda almacenada en el teléfono, e incluyendo un modo sin conexión avanzado y herramientas de anotación.

Descubre más casos de uso en nuestra página de Energía y Servicios Públicos.

Energía: Teréga y Prime Energy

Teréga, que gestiona cerca de una cuarta parte de las infraestructuras de almacenamiento y transporte de gas en Francia, combina el análisis de imágenes aéreas con la aplicación móvil WizyVision y la detección de anomalías mediante inteligencia artificial para reducir los tiempos de espera en las intervenciones en un 30 %. Por su parte, en Filipinas, Prime Energy —una filial de Shell— digitaliza las inspecciones de miles de activos utilizando fotografías geolocalizadas y con marca de tiempo, además de listas de verificación que funcionan sin conexión, lo que permitió eliminar los informes en papel.

Más información en nuestra página de Energía y Servicios Públicos.

Logística: inspecciones listas para auditoría en Chronopost

Para sus entregas de productos frescos y alimentarios, Chronopost contaba con certificaciones ISO. La herramienta digital que utilizaba hasta entonces tenía una baja tasa de adopción y resultaba compleja de gestionar. WizyVision desarrolló una aplicación de inspección que permite realizar capturas sencillas desde dispositivos móviles, generar informes de auditoría automáticos y aplicar acciones correctivas de inmediato. Los auditores internos y los equipos de los centros logísticos la adoptaron ampliamente, logrando un ahorro del 40 % en el presupuesto de software en comparación con la solución anterior.

Descubre más ejemplos en Transporte y Logística.

Estos clientes eligieron WizyVision no a pesar de sus requisitos de seguridad, sino porque la plataforma los cumplía sin ralentizar las operaciones sobre el terreno. Además de nuestras certificaciones, la consultora de ciberseguridad Wavestone también ha evaluado la seguridad de WizyVision.

Cómo evaluar la seguridad de un proveedor de aplicaciones para trabajo en campo: una lista de verificación para TI y adquisiciones

Ya sea que estés comparando plataformas o evaluando a un proveedor actual, estas son las preguntas que vale la pena plantear. Hemos incluido nuestras propias respuestas para que puedas contrastarlas con nuestra documentación.

Cómo acceder al informe SOC 2 y a la documentación de seguridad de WizyVision

La transparencia forma parte de la seguridad. A continuación, se explica cómo sus equipos pueden revisar nuestra documentación:

1. Accede al Centro de Confianza (Trust Center) de WizyVision. Es de acceso público y en él figuran nuestras certificaciones, así como los 198 controles que se supervisan.
2. Solicita los documentos que necesites desde la pestaña Documentos: la carta de referencia SOC 2 y el informe de auditoría ISO 27001.
3. Consulta nuestra documentación técnica en support.wizyvision.com, que incluye artículos y guías relacionados con la seguridad.
4. Si su cuestionario de seguridad va más allá, consúltenos: nuestro equipo lo revisará con usted. Póngase en contacto con nosotros.

La seguridad es un compromiso, no una insignia.

Las certificaciones SOC 2 Tipo II e ISO 27001 no son metas finales. Representan compromisos que se revisan anualmente, con controles que se supervisan a diario. Para nuestros clientes, esto significa dedicar menos tiempo a verificar la fiabilidad de un proveedor y más tiempo a digitalizar lo que realmente importa: el trabajo realizado sobre el terreno.

Si sus equipos están evaluando una plataforma para operaciones en campo, o revisando a un proveedor actual, comiencen por nuestro Centro de Confianza (Trust Center) y, después, hablemos sobre su caso de uso específico.