ISO 27001 y SOC 2 responden a la misma pregunta de un cliente: "¿puedo confiarte mis datos?". Pero lo hacen de formas distintas, con auditores distintos y con un reconocimiento que cambia según el país. Esta guía compara los dos marcos punto por punto, explica en qué se parecen y en qué no, y ayuda a decidir por cuál empezar.
Resumen rápido
- Qué se obtiene: ISO 27001 da un certificado; SOC 2 da un informe de auditoría (atestación), no un certificado.
- Quién audita: ISO 27001, un organismo certificador acreditado; SOC 2, una firma de contadores públicos (CPA) habilitada en Estados Unidos.
- Dónde pesa más: ISO 27001 en Europa, Latinoamérica y el resto del mundo; SOC 2 en Estados Unidos.
- Vigencia: el certificado ISO dura 3 años con seguimientos anuales; el informe SOC 2 no vence formalmente, pero los clientes esperan uno nuevo cada año.
- Lo que comparten: una parte importante de los controles y de la evidencia, por lo que conviene prepararlas juntas.
Qué es ISO 27001
ISO/IEC 27001 es la norma internacional que define los requisitos de un sistema de gestión de seguridad de la información (SGSI). Exige cumplir las cláusulas 4 a 10, que describen cómo se gestiona la seguridad (contexto, liderazgo, riesgos, operación, auditoría interna, mejora), y elegir controles del Anexo A en función de los riesgos.
Un organismo certificador acreditado audita el sistema en dos etapas y, si cumple, emite un certificado público. La explicación completa está en ¿Qué es la certificación ISO 27001?
Qué es SOC 2
SOC 2 es un tipo de informe que define el AICPA, el instituto de contadores públicos de Estados Unidos. Una firma de contadores evalúa si los controles de una organización de servicios cumplen con los Criterios de Servicios de Confianza (Trust Services Criteria), agrupados en cinco categorías:
| Categoría | Qué cubre | ¿Obligatoria? |
|---|---|---|
| Seguridad | Protección contra accesos indebidos y daños a los sistemas | Sí, siempre |
| Disponibilidad | Que los sistemas funcionen según lo comprometido | Opcional |
| Integridad del procesamiento | Que el procesamiento sea completo, exacto y autorizado | Opcional |
| Confidencialidad | Protección de la información confidencial | Opcional |
| Privacidad | Tratamiento de los datos personales | Opcional |
SOC 2 Tipo 1 y Tipo 2
- Tipo 1
Evalúa si los controles están bien diseñados en una fecha determinada. Se obtiene más rápido y suele usarse como primer paso.
- Tipo 2
Evalúa si los controles funcionaron durante un período de observación, habitualmente de 3 a 12 meses. Es el que piden la mayoría de los clientes corporativos.
El informe SOC 2 es de uso restringido: se comparte con clientes, normalmente bajo un acuerdo de confidencialidad. Existe también el SOC 3, una versión resumida que sí puede publicarse.
ISO 27001 vs SOC 2: comparación punto por punto
| ISO 27001 | SOC 2 | |
|---|---|---|
| Origen | ISO e IEC, organismos internacionales de normalización | AICPA, instituto de contadores públicos de Estados Unidos |
| Qué se obtiene | Un certificado | Un informe de auditoría con la opinión del auditor |
| Quién audita | Organismo certificador acreditado | Firma de contadores públicos (CPA) |
| Qué evalúa | Que el sistema de gestión cumpla la norma y funcione | Que los controles cumplan los criterios elegidos |
| Requisitos | Cláusulas 4 a 10 obligatorias y controles del Anexo A según riesgos | Criterios de Seguridad obligatorios, más las categorías que la empresa elija |
| Resultado ante un desvío | No conformidades: las mayores deben corregirse antes de certificar; las menores, con un plan de acción aceptado | Excepciones que quedan descritas en el informe |
| Vigencia | 3 años, con auditorías de seguimiento anuales | No vence formalmente; se renueva cada año en la práctica |
| Publicidad | Certificado público y verificable | Informe confidencial, compartido bajo acuerdo |
| Dónde se pide más | Europa, Latinoamérica, Asia y licitaciones | Estados Unidos y empresas de software que venden allí |
En qué se parecen
Los dos marcos buscan lo mismo y exigen muchas prácticas equivalentes. Una organización que cumple uno ya tiene recorrida buena parte del otro:
- Gestión de riesgos
Ambos exigen identificar y tratar los riesgos de seguridad.
- Control de accesos
Altas, bajas, revisiones periódicas y autenticación segura.
- Gestión de cambios
Cambios en sistemas aprobados, probados y registrados.
- Incidentes
Detección, respuesta y aprendizaje documentados.
- Proveedores
Evaluación y seguimiento de terceros con acceso a información.
- Personas
Capacitación, concientización y condiciones de contratación.
El propio AICPA publica una correspondencia entre los Criterios de Servicios de Confianza e ISO 27001, que sirve como punto de partida para trabajar los dos marcos con un mismo conjunto de controles.
Las diferencias que importan de verdad
Certificado o informe
El certificado ISO dice "cumple" o no se emite. El informe SOC 2 describe los controles, cómo se probaron y las excepciones encontradas, y el cliente saca sus propias conclusiones. Por eso los equipos de seguridad de los clientes suelen leer el informe SOC 2 con detalle, mientras que del certificado ISO miran sobre todo el alcance.
Sistema de gestión o conjunto de controles
ISO 27001 exige un sistema completo: liderazgo, objetivos, auditoría interna, revisión por la dirección y mejora continua. SOC 2 se concentra en que los controles cumplan los criterios. En la práctica, ISO 27001 pide más estructura de gestión; SOC 2 pide más evidencia detallada de cada control.
Un período de observación
El SOC 2 Tipo 2 evalúa los controles durante meses, y el informe cubre ese período. Si un control falla en el medio, queda registrado como excepción. En ISO 27001, el auditor revisa evidencia del funcionamiento, pero no existe un período de observación formal.
Reconocimiento geográfico
Un cliente de Estados Unidos puede no conocer el certificado ISO 27001 o pedir igual el SOC 2. Un cliente europeo o latinoamericano, en cambio, suele pedir ISO 27001 y no siempre sabe leer un informe SOC 2.
Cuál elegir según la situación
| Situación | Por dónde empezar |
|---|---|
| Los clientes principales están en Estados Unidos | SOC 2, empezando por el Tipo 1 si hay apuro y siguiendo con el Tipo 2 |
| Los clientes están en Latinoamérica, Europa o son organismos públicos | ISO 27001 |
| Grandes empresas de la región (banca, minería, energía, telecomunicaciones) | ISO 27001, que es lo que suelen exigir sus áreas de compras y seguridad |
| Clientes en varios mercados | La que pida el cliente más importante del próximo año, preparando la otra en paralelo |
| Ningún cliente pide todavía una en particular | ISO 27001, por su reconocimiento internacional y porque su estructura facilita sumar otros marcos |
Orientación general. Antes de decidir, conviene preguntarles a los clientes clave qué aceptan: algunos aceptan cualquiera de los dos.
ISO 27001 y SOC 2 en Latinoamérica
En la región, ISO 27001 es la credencial más reconocida: la piden licitaciones, bancos, empresas de energía y minería, y socios europeos, y la certifican organismos acreditados que auditan en español. SOC 2 aparece sobre todo cuando una empresa de software empieza a vender a clientes de Estados Unidos.
Para SOC 2, la auditoría la tiene que hacer una firma de contadores habilitada para emitir este tipo de informes, y conviene confirmar antes si puede trabajar en español y con equipos en la región. El análisis por país y por sector está en ¿Quién necesita ISO 27001?
Cómo prepararse para las dos sin duplicar el trabajo
- Armar un solo conjunto de controles. Cada control se vincula con el requisito de ISO 27001 y con el criterio de SOC 2 que cubre.
- Hacer una sola evaluación de riesgos. Sirve para los dos marcos.
- Escribir políticas que sirvan para ambos. No hace falta un juego de documentos por marco.
- Reunir la evidencia una vez. El mismo registro de revisión de accesos respalda a los dos auditores.
- Coordinar el calendario. Alinear el período de observación de SOC 2 con el ciclo de auditorías de ISO 27001 reduce el esfuerzo de preparación.
Cómo ayuda Certenza con ISO 27001 y SOC 2
La mayor parte del costo de tener los dos marcos está en duplicar el trabajo: dos planillas, dos juegos de documentos, dos veces la misma evidencia. Certenza los gestiona en el mismo lugar:
- Los dos marcos, en la misma plataforma
ISO 27001 y SOC 2 se trabajan juntos, para ver qué controles cubren a ambos y cuáles son propios de cada uno.
- Una evidencia, dos auditorías
Los registros que se reúnen desde las herramientas conectadas sirven para el organismo certificador y para la firma que emite el informe SOC 2.
- Un Trust Center para mostrar los dos
Los clientes de cada mercado encuentran la información que buscan, sin pedirla por separado.
La certificación ISO 27001 la emite un organismo acreditado y el informe SOC 2 una firma de contadores; los dos se contratan por separado.
¿Tus clientes piden ISO 27001, SOC 2 o las dos?
Te mostramos cómo prepararte para ambas con un solo trabajo.