¿El SOC 2 es una certificación?

No es exactamente una certificación: es un informe firmado por una firma de auditoría, no un certificado. Pero el mercado suele llamarlo 'certificación SOC 2', y la preparación es la misma que la de cualquier auditoría: organizar los controles y reunir las evidencias. Si tu cliente pide 'la certificación SOC 2', quiere el informe, en general el Tipo II. El nombre es coloquial; lo que entregas es el informe.

Si tengo ISO 27001, ¿consigo el SOC 2 más rápido?

Sí. Como los controles son casi los mismos, quien ya mantiene la ISO 27001 llega al SOC 2 con la mayor parte de la evidencia lista. Lo que cambia es la forma: el SOC 2 separa los controles por los temas que elegiste y pide el período de observación del Tipo II. Es un aprovechamiento sobre una base madura, no un comienzo desde cero, y vale también al revés.

¿Tipo I o Tipo II, cuál quiere mi cliente?

Casi siempre el Tipo II. El Tipo I muestra que los controles estaban bien montados en un día; el Tipo II muestra que funcionaron a lo largo de un período, en general de 3 a 12 meses, y es lo que el cliente estadounidense realmente valora. El Tipo I suele ser un paso intermedio: muestra avance mientras corre el período del Tipo II.

¿Cuál elegir si vendo a Estados Unidos y a Europa?

Las dos, en un esfuerzo combinado. En Estados Unidos, el cliente pide SOC 2 por su nombre; en Europa y Asia, la ISO 27001 es la moneda reconocida, común en licitaciones y cadenas de suministro. Como los controles son casi los mismos, organizas una vez y usas la evidencia para el certificado y para el informe, sin mantener dos proyectos separados.

Seguridad de la información

SOC 2 vs ISO 27001

Las dos demuestran lo mismo, que tu seguridad de la información es seria y está auditada, pero en formatos y mercados diferentes. El SOC 2 es un informe firmado por una firma de auditoría, el más pedido por los clientes de Estados Unidos. La ISO/IEC 27001 es una certificación internacional, reconocida en Europa, Asia y Brasil. Los controles de seguridad son casi los mismos en las dos, así que quien hace una se acerca mucho a la otra.

Ver preparación para SOC 2 Ir a la comparación

En resumen

La ISO 27001 es una certificación internacional (pasas o no pasas); el SOC 2 es un informe con la opinión de un auditor.
El SOC 2 es lo que pide el cliente estadounidense por su nombre; la ISO 27001 es la moneda global, fuerte en Europa y Asia.
Los controles de seguridad son casi los mismos, así que quien hace uno aprovecha la mayor parte de la evidencia del otro.
Muchas empresas hacen las dos: la ISO 27001 por la organización y el alcance, el SOC 2 para cerrar contratos en Estados Unidos.

Lado a lado

Qué separa un informe de una certificación

Qué comparar	SOC 2	ISO/IEC 27001
Qué es	Un informe sobre tus controles, firmado por una firma de auditoría.	Una certificación de seguridad de la información.
De dónde viene	De Estados Unidos (AICPA). Es el más usado en el mercado estadounidense.	Internacional (ISO/IEC). Es el más usado en Europa, Asia y América Latina.
Qué entregas	Un informe detallado, con la descripción de los controles y la opinión del auditor, casi siempre entregado bajo confidencialidad.	Un certificado público de una página, que cualquiera puede verificar.
Qué entra en el alcance	Los temas que eliges: Seguridad (obligatorio) y, si quieres, Disponibilidad, Integridad, Confidencialidad y Privacidad.	El alcance que tú defines, indicando cuáles de los 93 controles aplican a tu empresa.
Tipos	Tipo I (retrata los controles en un día) o Tipo II (muestra que funcionaron a lo largo de un período, en general de 3 a 12 meses).	Una sola certificación, con visitas de seguimiento cada año.
Quién emite	Una firma de auditoría (CPA).	Una entidad de certificación acreditada.
Dónde se enfoca	En si los controles ligados a los temas que elegiste funcionan de verdad.	En una organización completa de la seguridad: riesgo, responsables y mejora continua, además de los controles.
Cuánto tiempo es válido	Cubre un día (Tipo I) o un período (Tipo II); suele repetirse cada año.	El certificado vale 3 años, con visitas de seguimiento cada año.

SOC 2 e ISO 27001 comparten la mayor parte de los controles (control de acceso, gestión de cambios, respuesta a incidentes, gestión de proveedores), y por eso una se convierte en atajo para la otra.

El informe que pide Estados Unidos

SOC 2

Es el estándar que el cliente estadounidense conoce por su nombre, sobre todo frente a empresas de software y de servicios. Una firma de auditoría revisa tus controles y emite un informe: el Tipo I describe cómo están los controles en un día; el Tipo II, más valorado, muestra que funcionaron a lo largo de un período. Es un documento denso, entregado bajo confidencialidad, y no un sello público.

El más pedido por los clientes de Estados Unidos
El Tipo II muestra que los controles funcionaron a lo largo del tiempo
El alcance se arma con los temas que eliges
Un informe detallado, casi siempre entregado bajo confidencialidad

La certificación global

ISO/IEC 27001

Es la moneda internacional de la seguridad de la información: un certificado reconocido en Europa, Asia y Brasil, y exigido en muchas licitaciones y cadenas de suministro. Va más allá de los controles, porque pide una organización completa de la seguridad, con análisis de riesgo, qué aplica y qué no aplica, auditoría interna y revisión por la dirección. El resultado es público y fácil de mostrar a cualquier parte interesada.

Certificación reconocida en todo el mundo
Pide una organización completa de la seguridad, no solo controles
Certificado público, que cualquiera puede verificar
Común en licitaciones y en exigencias de cadena de suministro

Cómo se complementan

Una base de controles, dos formas de demostrarla

SOC 2 e ISO 27001 cubren casi los mismos controles: control de acceso, gestión de cambios, respuesta a incidentes, gestión de proveedores y continuidad. La diferencia está en el empaque. La ISO 27001 envuelve todo en una organización certificable y un certificado público; el SOC 2 lo envuelve en un informe, con la opinión de un auditor sobre los temas que elegiste. Por eso quien ya tiene una se acerca mucho a la otra: la evidencia es casi la misma, cambia la forma de presentarla. Incluso se pueden hacer las dos evaluaciones en un esfuerzo combinado.

La base de controles de seguridad sirve a las dos evidencias
La ISO 27001 añade la organización completa (riesgo, alcance, auditoría interna)
El SOC 2 añade la opinión del auditor sobre el período evaluado

Cuál es tu caso

Por dónde empezar

Tus clientes objetivo están en Estados Unidos

Empieza por el SOC 2

Es lo que pide el cliente estadounidense por su nombre, muchas veces ya en el momento de la compra. Apunta al Tipo II, que es lo que cierra contratos; el Tipo I sirve como paso intermedio.

Vendes a Europa, Asia o al sector público

Ve por la ISO 27001

Es la certificación que licitaciones y grandes empresas reconocen en todo el mundo. Y se convierte en la base que acorta el SOC 2 cuando un cliente estadounidense lo pida.

Vendes a los dos mundos

Las dos, en un esfuerzo combinado

El camino más eficiente. Organizas la seguridad una sola vez y usas la misma evidencia para el certificado ISO y para el informe SOC 2, sin repetir el trabajo.

Números que importan

temas del SOC 2 (Seguridad es obligatorio)

3 a 12 meses

período que suele cubrir un SOC 2 Tipo II

93 controles

en la versión de 2022 de la ISO/IEC 27001

Cómo lo resuelve DM11

Preparación para SOC 2 y certificación ISO 27001, con DM11

Organizamos la seguridad una sola vez y la usamos en los dos frentes: la certificación ISO 27001, para el mercado internacional, y el informe SOC 2 Tipo II, para el cliente estadounidense, con un solo esfuerzo de evidencia.

La misma base sirve para el cliente estadounidense y para el europeo, sin trabajo doble
Entras a la auditoría ya preparado, con los controles y las evidencias en su lugar
Nosotros nos encargamos de la documentación y la rutina; tu equipo sigue en el producto
Cierras más contratos: la evidencia de seguridad deja de frenar la venta

Conocer la preparación para SOC 2

Preguntas frecuentes

Lo que preguntan antes de decidir

Respuestas basadas en los criterios del SOC 2 (AICPA) y en la ISO/IEC 27001:2022.

No, pero se parecen mucho. Las dos demuestran que tu seguridad está auditada, y comparten la mayor parte de los controles. La diferencia es el formato: la ISO 27001 es una certificación (pasas o no pasas) con un certificado público; el SOC 2 es un informe, con la opinión de un auditor sobre los controles, casi siempre entregado bajo confidencialidad. Una es un sello; la otra, un documento detallado.

¿Más dudas? Habla con DM11

Descubre qué evidencia pide tu cliente, y el camino más corto hasta ella

Una conversación breve muestra si tu mercado pide SOC 2, ISO 27001 o las dos, y cuánto camino ya llevas recorrido. Sin compromiso.

Habla con un especialista Conocer la preparación para SOC 2

SOC 2 vs ISO 27001

Qué comparar

SOC 2

ISO/IEC 27001

Qué es

Un informe sobre tus controles, firmado por una firma de auditoría.

Una certificación de seguridad de la información.

De dónde viene

De Estados Unidos (AICPA). Es el más usado en el mercado estadounidense.

Internacional (ISO/IEC). Es el más usado en Europa, Asia y América Latina.

Qué entregas

Un informe detallado, con la descripción de los controles y la opinión del auditor, casi siempre entregado bajo confidencialidad.

Un certificado público de una página, que cualquiera puede verificar.

Qué entra en el alcance

Los temas que eliges: Seguridad (obligatorio) y, si quieres, Disponibilidad, Integridad, Confidencialidad y Privacidad.

El alcance que tú defines, indicando cuáles de los 93 controles aplican a tu empresa.

Tipos

Tipo I (retrata los controles en un día) o Tipo II (muestra que funcionaron a lo largo de un período, en general de 3 a 12 meses).

Una sola certificación, con visitas de seguimiento cada año.

Quién emite

Una firma de auditoría (CPA).

Una entidad de certificación acreditada.

Dónde se enfoca

En si los controles ligados a los temas que elegiste funcionan de verdad.

En una organización completa de la seguridad: riesgo, responsables y mejora continua, además de los controles.

Cuánto tiempo es válido

Cubre un día (Tipo I) o un período (Tipo II); suele repetirse cada año.

El certificado vale 3 años, con visitas de seguimiento cada año.

SOC 2

El más pedido por los clientes de Estados Unidos

El Tipo II muestra que los controles funcionaron a lo largo del tiempo

El alcance se arma con los temas que eliges

Un informe detallado, casi siempre entregado bajo confidencialidad

ISO/IEC 27001

Certificación reconocida en todo el mundo

Pide una organización completa de la seguridad, no solo controles

Certificado público, que cualquiera puede verificar

Común en licitaciones y en exigencias de cadena de suministro

Una base de controles, dos formas de demostrarla

La base de controles de seguridad sirve a las dos evidencias

La ISO 27001 añade la organización completa (riesgo, alcance, auditoría interna)

El SOC 2 añade la opinión del auditor sobre el período evaluado

Preparación para SOC 2 y certificación ISO 27001, con DM11

La misma base sirve para el cliente estadounidense y para el europeo, sin trabajo doble

Entras a la auditoría ya preparado, con los controles y las evidencias en su lugar

Nosotros nos encargamos de la documentación y la rutina; tu equipo sigue en el producto

Cierras más contratos: la evidencia de seguridad deja de frenar la venta