Para una empresa de Latinoamérica con clientes en Estados Unidos y en la región, es común que unos pidan SOC 2 y otros ISO 27001. Hacerlos por separado duplica políticas, controles y evidencia. Esta guía muestra dónde se superponen, qué pide cada uno que el otro no, y cómo armar un único conjunto de controles para los dos. Las diferencias generales entre ambos marcos están en ISO 27001 vs SOC 2.
Resumen rápido
- Superposición alta: la mayoría de los criterios comunes de SOC 2 tiene un equivalente en ISO 27001.
- Qué suma ISO 27001: el sistema de gestión completo, la Declaración de Aplicabilidad, la auditoría interna y la revisión por la dirección.
- Qué suma SOC 2: la descripción del sistema, el período de observación y las categorías opcionales.
- El método: un solo conjunto de controles, cada uno vinculado a los requisitos de ambos marcos.
- Referencia oficial: el AICPA publica una correspondencia entre sus criterios e ISO 27001.
Mapeo de los criterios comunes con ISO 27001
| SOC 2 | Tema | ISO 27001 (cláusulas y Anexo A) |
|---|---|---|
| CC1 | Entorno de control | Cláusula 5 (liderazgo); A.5.1 a A.5.4, A.6.1, A.6.2 |
| CC2 | Información y comunicación | Cláusula 7.4 (comunicación); A.5.1, A.6.3, A.6.8 |
| CC3 | Evaluación de riesgos | Cláusulas 6.1, 8.2 y 8.3 |
| CC4 | Actividades de monitoreo | Cláusulas 9.1, 9.2 y 9.3 |
| CC5 | Actividades de control | Cláusula 6.1.3; A.5.1, A.5.3 |
| CC6 | Accesos lógicos y físicos | A.5.15 a A.5.18, A.7.1 a A.7.4, A.8.2 a A.8.5, A.8.24 |
| CC7 | Operación de los sistemas | A.5.24 a A.5.28, A.8.8, A.8.15, A.8.16 |
| CC8 | Gestión de cambios | A.8.9, A.8.25, A.8.29, A.8.32 |
| CC9 | Mitigación de riesgos | A.5.19 a A.5.23 (proveedores), A.5.29, A.5.30 (continuidad) |
Correspondencia orientativa elaborada por Certenza con palabras propias. Un mismo control puede cubrir varios criterios y varios controles del Anexo A. Para un mapeo formal conviene usar la correspondencia publicada por el AICPA.
Las categorías opcionales de SOC 2
| Categoría SOC 2 | Relación con ISO |
|---|---|
| Disponibilidad | Continuidad y copias de seguridad del Anexo A (A.5.30, A.8.13, A.8.14) |
| Confidencialidad | Clasificación y protección de la información (A.5.12, A.5.13, A.8.10) |
| Integridad del procesamiento | Cobertura parcial; suele requerir controles propios del servicio |
| Privacidad | Se relaciona sobre todo con ISO/IEC 27701, el sistema de gestión de la privacidad (desde 2025, una norma independiente de ISO 27001) |
Lo que cada marco pide y el otro no
- Solo en ISO 27001
Contexto y alcance del SGSI, objetivos de seguridad, Declaración de Aplicabilidad con los 93 controles, auditoría interna formal, revisión por la dirección, mejora continua y certificación por un organismo acreditado.
- Solo en SOC 2
Descripción del sistema que forma parte del informe, afirmación de la dirección, período de observación con pruebas sobre muestras, controles complementarios de los clientes y categorías opcionales como Integridad del procesamiento. También pide considerar de forma explícita el riesgo de fraude (CC3.3), que ISO 27001 no menciona.
Cómo armar un único conjunto de controles
- Partir de un inventario de controles propio, no de la lista de uno de los marcos.
- Vincular cada control con el criterio de SOC 2 y con la cláusula o control del Anexo A que cubre.
- Hacer una sola evaluación de riesgos que sirva para los dos marcos.
- Escribir políticas comunes, en lugar de un juego de documentos por marco.
- Reunir la evidencia una vez y usarla en las dos auditorías.
- Cubrir lo exclusivo de cada marco: la Declaración de Aplicabilidad para ISO 27001 y la descripción del sistema para SOC 2.
- Coordinar el calendario, alineando el período de SOC 2 con los seguimientos de ISO 27001.
Qué se gana con el mapeo
- Menos horas del equipo, porque cada control se implementa y documenta una vez.
- Auditorías más simples, con la misma evidencia para los dos auditores.
- Menos riesgo de contradicciones entre políticas.
- Una base lista para sumar otros marcos, como ISO 27701 o ISO 42001.
Cómo ayuda Certenza a trabajar los dos marcos
Certenza gestiona varios estándares en la misma plataforma, así que el mapeo deja de ser una planilla aparte. Un mismo control, con su responsable y su evidencia, queda vinculado a SOC 2 y a ISO 27001 a la vez. En concreto:
- Un alcance para cada marco sobre la misma base de controles.
- Una sola evaluación de riesgos con los flujos de trabajo guiados, válida para ambos.
- Políticas comunes redactadas con el generador de IA.
- Evidencia reutilizable, reunida automáticamente y monitoreada de forma continua.
- Un Trust Center que muestra los dos marcos a los clientes de cada mercado.
La certificación ISO 27001 la emite un organismo acreditado y el informe SOC 2 una firma de contadores; ambos se contratan por separado.
¿Querés trabajar SOC 2 e ISO 27001 con un solo esfuerzo?
Te mostramos cómo se ve el mapeo en Certenza.