Las principales diferencias
- Resultado: la ISO/IEC 27001 da un certificado público. SOC 2 da un informe que suele compartirse bajo un acuerdo de confidencialidad.
- Lo emite: un organismo de certificación acreditado en la ISO; una firma de contadores públicos autorizada (CPA) en SOC 2.
- Enfoque: la ISO exige un sistema de gestión con la gestión de riesgos en su centro. SOC 2 prueba los controles frente a los Trust Services Criteria del AICPA.
- Mercados: la ISO está muy reconocida en todo el mundo, sobre todo en Europa. SOC 2 es la petición habitual en Norteamérica.
SOC 2 en resumen
Los criterios cubren la seguridad, obligatoria, y opcionalmente la disponibilidad, la integridad del procesamiento, la confidencialidad y la privacidad. Un informe de tipo I examina el diseño de los controles en una fecha; uno de tipo II prueba además que funcionaron durante un periodo.
Cómo elegir
- Pregunte a sus clientes y posibles clientes qué exigen.
- Vende sobre todo en Europa o en todo el mundo: la ISO/IEC 27001 suele ser la primera opción.
- Vende sobre todo a empresas estadounidenses: lo habitual es que se espere SOC 2.
- Le piden ambos: construya un único conjunto de controles y evidencias y reutilícelo para los dos.
Preguntas
- ¿Es SOC 2 una certificación?
- No. Es un informe de atestación: la opinión de un auditor sobre sus controles. Nadie está certificado en SOC 2 en el sentido de la ISO.
- ¿Puede reutilizarse el trabajo de la ISO 27001 para SOC 2?
- En gran parte. Muchos controles y buena parte de las evidencias son comunes, y los criterios pueden correlacionarse con el anexo A, aunque cada auditoría tiene sus propios requisitos.