La respuesta corta
Elige según dónde estén tus compradores. En el Reino Unido, en Europa y en la mayoría de los mercados internacionales piden ISO 27001; en Estados Unidos suelen pedir un informe SOC 2. Los dos se solapan mucho, así que prepárate una sola vez y pasa primero la auditoría que necesite tu próxima venta. Qorelo, una startup alemana de IA, obtuvo ISO 27001 en unas seis semanas con cero no conformidades y después completó un examen SOC 2 Type I.
La otra diferencia pesa en las conversaciones de venta: ISO 27001 termina en un certificado de un organismo de certificación acreditado. SOC 2 termina en un informe y una opinión de una firma CPA. SOC 2 no tiene certificado.
Habla con un fundador sobre tu ruta ISO · Lee el caso de éxito de Qorelo
ISO 27001 y SOC 2, frente a frente
| ISO 27001 | SOC 2 | |
|---|---|---|
| Qué es | Una norma internacional para un sistema de gestión de la seguridad de la información (SGSI) | Un examen de tus controles frente a los Criterios de Servicios de Confianza (Trust Services Criteria) del AICPA |
| Qué obtienes | Un certificado | Un informe con la opinión del auditor |
| Quién lo emite | Un organismo de certificación acreditado (en el Reino Unido, acreditado por UKAS) | Una firma CPA con licencia |
| Quién lo pide | Los compradores del Reino Unido, de Europa y de la mayoría de los mercados internacionales | Los compradores de Estados Unidos y, en otros países, las empresas de matriz estadounidense |
| Qué cubre | Tu SGSI, más los controles del Anexo A que eliges en tu Declaración de Aplicabilidad (93 en la versión de 2022) | Siempre la seguridad; la disponibilidad, la integridad del procesamiento, la confidencialidad y la privacidad, si las añades |
| Cuánto dura | Tres años, con auditorías de seguimiento el segundo y el tercer año | Un informe cubre un momento concreto (Type I) o un periodo (Type II); los compradores piden uno nuevo cada año |
| Cómo lo comprueban los compradores | En el propio certificado y, a menudo, también en registros públicos como UKAS CertCheck e IAF CertSearch | Tú compartes el informe, normalmente bajo un acuerdo de confidencialidad (NDA) |
Por cuál empezar
Parte de los mercados en los que vendes hoy y de los que quieres abrir en el próximo año, más o menos.
- Si vendes en el Reino Unido y Europa: ISO 27001. Es la que nombran los departamentos de compras en sus cuestionarios y contratos.
- Si vendes en Estados Unidos, o piensas hacerlo: SOC 2. Es el informe que conocen los equipos de seguridad estadounidenses.
- Si vendes en casi cualquier otro lugar, como Asia o Latinoamérica: ISO 27001, porque es internacional.
- Si vendes en ambos: prepárate para los dos a la vez, pasa ahora una de las auditorías y deja la segunda para cuando un cliente la necesite de verdad.
Dos de nuestros clientes tomaron esta decisión. Centinel Analytica, una startup alemana de detección de bots, tenía clientes que le pedían ISO 27001 y SOC 2, y eligió ISO 27001: se certificó en menos de dos meses, con entre 15 y 20 horas del tiempo de su equipo. Qorelo, una plataforma alemana de IA para operaciones SAP, hizo primero ISO 27001 y después un examen SOC 2 Type I. Según su CTO, el resultado le dio una base de confianza más sólida para las conversaciones con clientes corporativos, incluida Mercedes-Benz.
Si un comprador te pide "ISO 27001 o SOC 2", pregúntale cuál prefiere, para cuándo y si por ahora le basta con una carta que diga que estás en proceso. Según nuestra experiencia, a menudo basta.
Dónde se solapan y dónde no
La mayor parte del trabajo es la misma. Los dos te piden:
- evaluar tus riesgos y elegir controles para ellos;
- controlar quién tiene acceso a qué, con MFA y revisiones periódicas;
- gestionar los cambios en el código y la infraestructura;
- revisar a tus proveedores y mantener una lista de ellos;
- tener un plan para los incidentes y hacer copias de seguridad de tus datos;
- formar a tu equipo y conseguir que acepte las políticas;
- demostrarlo todo con evidencias, no solo con políticas.
El AICPA publica una correspondencia entre los Criterios de Servicios de Confianza y los requisitos de ISO 27001, que muestra cuánto se puede trasladar de uno a otro.
Lo que cambia:
- ISO 27001 audita el sistema de gestión, no solo los controles: tu alcance, tu método de evaluación de riesgos, la auditoría interna y la revisión por la dirección. La Fase 1 revisa tus documentos; la Fase 2 comprueba que los aplicas.
- SOC 2 parte de una descripción del sistema: un documento que describe tus servicios, tu infraestructura, tu equipo, tus datos y los controles que los rodean. La firma CPA comprueba que la descripción es exacta y que tus controles cumplen los Criterios de Servicios de Confianza.
- SOC 2 Type II examina un periodo. El auditor toma muestras de evidencias de todo ese intervalo, así que los controles tienen que funcionar durante todo el periodo, no solo la semana de la auditoría.
SOC 2 Type I o Type II
- Type I: ¿están bien diseñados tus controles en un momento concreto? Puedes obtenerlo poco después de estar preparado, sin periodo de observación. El Type I de Qorelo cubrió la categoría de Seguridad, con una opinión no modificada (sin salvedades) en el informe final.
- Type II: ¿funcionaron de verdad tus controles durante un periodo, normalmente de 3 a 12 meses? Es lo que, al final, quieren muchos grandes compradores estadounidenses.
Una ruta habitual para las startups es empezar por Type I, para desbloquear la venta que tienes delante, y pasar a Type II cuando los controles lleven un tiempo funcionando.
Cómo hacer los dos sin duplicar el trabajo
- Redacta las políticas una sola vez, de forma que respondan a los dos. La mayoría de las políticas de ISO 27001 ya cubren lo que pide un auditor de SOC 2.
- Recopila las evidencias una sola vez. Las revisiones de accesos, las altas y bajas del personal, las aprobaciones de cambios, las revisiones de proveedores y los registros de incidentes sirven para las dos auditorías.
- Pasa primero la auditoría que necesite tu próxima venta. Para la mayoría de las startups que venden en el Reino Unido y Europa, es ISO 27001.
- Aprovecha lo que ya tienes para el segundo marco. Según nuestra experiencia, gran parte de lo que pide una firma CPA, como la aceptación de las políticas, las muestras de cambios, las evidencias de MFA y las listas de proveedores, ya se ha recopilado para ISO 27001.
- Redacta la descripción del sistema de SOC 2 a partir del alcance y del inventario de activos de ISO 27001.
- Muestra los dos en un mismo sitio. Un Trust Center con tu certificado, el estado de tu SOC 2 y tus políticas responde a muchas preguntas antes de que los compradores te envíen un cuestionario. El Trust Center de Qorelo muestra su certificación ISO 27001 y su SOC 2 Type I uno al lado del otro, y allí los compradores solicitan el certificado y los informes; Qorelo revisa cada solicitud.
Lo que cuesta
Para ISO 27001, con un equipo de hasta 10 personas, los rangos del mercado británico suman aproximadamente de 11.300 a 31.500 £ el primer año, sin IVA: la auditoría, el software o un consultor, y una prueba de penetración. La guía de costes de ISO 27001 desglosa cada partida con fuentes.
SOC 2 tiene otra estructura de precios. Los honorarios de la firma CPA dependen de si es Type I o Type II, de los criterios que incluyas y del tamaño de tu sistema, y un Type II suele costar más que un Type I. Si te preparas para los dos a la vez, la mayor parte del coste de preparación se comparte.
Dónde encaja Kantis
Kantis combina el software con un apoyo práctico para los dos: el análisis de brechas, políticas que sirven para ISO 27001 y SOC 2, la recopilación de evidencias, la auditoría interna, la descripción del sistema de SOC 2, la coordinación con tu organismo de certificación o tu firma CPA y un Trust Center para tus compradores. El organismo de certificación emite el certificado ISO 27001, y la firma CPA emite el informe SOC 2.
Para ver el proceso completo de ISO 27001, del alcance al certificado, lee nuestra guía de ISO 27001 para startups. Para ver un ejemplo de cuánto tiempo del equipo hace falta, lee el caso de éxito de Centinel Analytica.
Habla con un fundador sobre tu ruta ISO y saldrás sabiendo cuál necesitan primero tus compradores y la vía creíble más rápida para conseguirlo. Las llamadas son en inglés.