As principais diferenças
- Resultado: a ISO/IEC 27001 dá um certificado público. O SOC 2 dá um relatório normalmente partilhado ao abrigo de um acordo de confidencialidade.
- Emitido por: um organismo de certificação acreditado na ISO; uma firma de contabilistas licenciada (CPA) no SOC 2.
- Foco: a ISO exige um sistema de gestão com a gestão de riscos no centro. O SOC 2 testa os controlos face aos Trust Services Criteria do AICPA.
- Mercados: a ISO é amplamente reconhecida no mundo, sobretudo na Europa. O SOC 2 é o pedido habitual na América do Norte.
O SOC 2 em resumo
Os critérios abrangem a segurança, obrigatória, e opcionalmente a disponibilidade, a integridade do processamento, a confidencialidade e a privacidade. Um relatório de tipo I analisa o desenho dos controlos numa data; um de tipo II testa também que funcionaram durante um período.
Como escolher
- Pergunte aos seus clientes e potenciais clientes o que exigem.
- Vende sobretudo na Europa ou no mundo: a ISO/IEC 27001 é muitas vezes a primeira escolha.
- Vende sobretudo a empresas norte-americanas: o SOC 2 é normalmente esperado.
- Pedem ambos: construa um único conjunto de controlos e evidências e reutilize-o para os dois.
Perguntas
- O SOC 2 é uma certificação?
- Não. É um relatório de garantia: a opinião de um auditor sobre os seus controlos. Ninguém é certificado SOC 2 no sentido da ISO.
- O trabalho da ISO 27001 pode ser reutilizado para o SOC 2?
- Em grande parte. Muitos controlos e boa parte das evidências são comuns, e os critérios podem ser mapeados para o anexo A, embora cada auditoria tenha requisitos próprios.