Glosario de seguridad

SOC 2 frente a ISO 27001

Ambos sirven para demostrar que te tomas en serio la seguridad de la información, y los clientes suelen pedir uno u otro. Pero vienen de mundos distintos (un marco contable estadounidense y un estándar internacional) y se demuestran de forma distinta. Ninguna consultora puede sencillamente entregarte ninguno de los dos.

SOC 2: un informe de atestación

SOC 2 es un examen frente a los AICPA Trust Services Criteria: Security (los Common Criteria obligatorios) más Availability, Processing Integrity, Confidentiality y Privacy de forma opcional. El resultado es un informe que elabora y emite una firma CPA independiente con licencia. Un informe Type I evalúa el diseño de los controles en un momento dado; un Type II evalúa su eficacia operativa a lo largo de un periodo (habitualmente de 3 a 12 meses). Se espera sobre todo de los proveedores SaaS, especialmente en EE. UU.

ISO 27001: un estándar certificable

ISO/IEC 27001:2022 es un estándar internacional para un Sistema de Gestión de Seguridad de la Información (SGSI). Construyes un sistema de gestión (cláusulas 4 a 10) y seleccionas controles del Anexo A (93 controles en cuatro temas). Después, un organismo de certificación acreditado lo audita en dos etapas y, si apruebas, emite un certificado válido por tres años con auditorías de seguimiento. Tiene reconocimiento mundial y a menudo se prefiere fuera de EE. UU.

En qué se diferencian

SOC 2 da como resultado un informe detallado que el cliente lee bajo NDA; ISO 27001, un certificado y una Statement of Applicability. SOC 2 lo atestigua una firma CPA frente a los Trust Services Criteria; ISO 27001 lo certifica un organismo acreditado frente a la norma. Los controles subyacentes se solapan mucho, así que muchas organizaciones buscan ambos y reutilizan evidencias. Aun así, los mecanismos de prueba son distintos e independientes.

Dónde encaja una consultora (y dónde no)

Esta es la parte importante. Una consultora puede dejarte listo con una evaluación de brechas, controles, políticas, auditoría interna y las pruebas de penetración que evidencian los controles técnicos. Pero no puede emitir el informe SOC 2 ni el certificado ISO 27001. Esos documentos deben proceder de una firma CPA independiente y de un organismo de certificación acreditado, respectivamente. Vexaro ofrece la preparación y las pruebas de penetración de soporte; la atestación siempre la emite el evaluador independiente.

Preguntas frecuentes

SOC 2 es un examen frente a los Trust Services Criteria del AICPA, cuyo resultado es un informe emitido por una firma de contadores públicos (CPA) independiente y autorizada. ISO/IEC 27001:2022 es una norma internacional para un sistema de gestión de la seguridad de la información, certificada por un organismo acreditado que emite un certificado válido durante tres años, con auditorías de seguimiento.

No. Una consultora puede prepararte (análisis de brechas, controles, políticas, auditoría interna y las pruebas de penetración que evidencian los controles técnicos), pero no puede emitir el informe SOC 2 ni el certificado ISO 27001. Deben proceder, respectivamente, de una firma CPA independiente y de un organismo de certificación acreditado.

Un informe de tipo I evalúa el diseño de los controles en un momento concreto; un informe de tipo II evalúa su eficacia operativa durante un periodo, normalmente de 3 a 12 meses.

Habla con un profesional de verdad.

¿Tienes una pregunta que estas páginas no respondieron? Cuéntanos qué intentas proteger y te orientaremos hacia el proyecto adecuado. La primera consulta es gratuita.