A resposta curta
A escolha depende de onde estão os seus compradores. Compradores do Reino Unido e da Europa, e a maioria dos compradores internacionais, pedem a ISO 27001; compradores dos EUA costumam pedir um relatório SOC 2. Os dois se sobrepõem muito, então prepare-se uma vez e faça a auditoria daquele que o seu próximo negócio exige. A Qorelo, uma startup alemã de IA, obteve a ISO 27001 em cerca de seis semanas, com zero não conformidades, e depois concluiu uma avaliação SOC 2 Type I.
A outra diferença pesa nas conversas de vendas: a ISO 27001 resulta em um certificado emitido por um organismo certificador acreditado. O SOC 2 resulta em um relatório e uma opinião de uma firma de CPA. O SOC 2 não tem certificado.
Fale com um fundador sobre o seu caminho para a ISO · Leia o estudo de caso da Qorelo
ISO 27001 e SOC 2 lado a lado
| ISO 27001 | SOC 2 | |
|---|---|---|
| O que é | Uma norma internacional para um sistema de gestão da segurança da informação (SGSI) | Uma avaliação dos seus controles em relação aos Trust Services Criteria da AICPA |
| O que você recebe | Um certificado | Um relatório com a opinião do auditor |
| Quem emite | Um organismo certificador acreditado (no Reino Unido, acreditado pela UKAS) | Uma firma de CPA licenciada |
| Quem pede | Compradores do Reino Unido e da Europa, e a maioria dos compradores internacionais | Compradores dos EUA e empresas de capital americano em outros países |
| O que cobre | O seu SGSI, mais os controles do Anexo A que você escolhe na sua Declaração de Aplicabilidade (93 na versão de 2022) | Sempre a segurança; disponibilidade, integridade de processamento, confidencialidade e privacidade, se você as incluir |
| Por quanto tempo vale | Três anos, com auditorias de manutenção no segundo e no terceiro ano | Um relatório cobre um momento (Type I) ou um período (Type II); os compradores pedem um novo todo ano |
| Como os compradores verificam | O próprio certificado, muitas vezes também em registros públicos como o UKAS CertCheck e o IAF CertSearch | Você compartilha o relatório, geralmente sob NDA |
Por qual começar
Comece pelos mercados para os quais você vende hoje e pelos que pretende atender nos próximos 12 meses, mais ou menos.
- Se você vende para o Reino Unido e a Europa: ISO 27001. É o que as áreas de compras citam nos questionários e nos contratos.
- Se você vende para os EUA, ou pretende vender: SOC 2. É o relatório que as equipes de segurança americanas conhecem.
- Se você vende para quase qualquer outro lugar, como a Ásia ou a América Latina: ISO 27001, porque é internacional.
- Se você vende para os dois mercados: prepare-se para ambos ao mesmo tempo, faça a auditoria de um agora e deixe o segundo para quando um cliente realmente precisar.
Dois clientes nossos tomaram essa decisão. A Centinel Analytica, uma startup alemã de detecção de bots, tinha clientes pedindo ISO 27001 e SOC 2 e escolheu a ISO 27001: obteve a certificação em menos de dois meses, com 15 a 20 horas do tempo da equipe. A Qorelo, uma plataforma alemã de IA para operações SAP, fez primeiro a ISO 27001 e depois uma avaliação SOC 2 Type I. Segundo o CTO, o resultado deu à empresa uma base de confiança mais sólida para as conversas com clientes corporativos, inclusive com a Mercedes-Benz.
Se um comprador pedir “ISO 27001 ou SOC 2”, pergunte qual ele prefere, para quando e se, por enquanto, basta uma carta dizendo que o processo está em andamento. Na nossa experiência, muitas vezes basta.
Onde eles se sobrepõem, e onde não
A maior parte do trabalho é a mesma. Os dois pedem que você:
- avalie os seus riscos e escolha controles para eles;
- controle quem tem acesso a quê, com MFA e revisões periódicas;
- gerencie as mudanças no código e na infraestrutura;
- avalie os seus fornecedores e mantenha uma lista deles;
- se prepare para incidentes e faça backup dos seus dados;
- treine a equipe e obtenha o aceite das políticas;
- comprove tudo isso com evidências, não só com políticas.
A AICPA publica um mapeamento entre os Trust Services Criteria e os requisitos da ISO 27001, que mostra o quanto se aproveita de um para o outro.
O que muda:
- A ISO 27001 audita o sistema de gestão, não só os controles: o seu escopo, a metodologia de riscos, a auditoria interna e a análise crítica pela direção. O Estágio 1 verifica os seus documentos; o Estágio 2 verifica se você os segue.
- O SOC 2 começa com uma descrição do sistema: um relato por escrito dos seus serviços, da infraestrutura, das pessoas, dos dados e dos controles em torno deles. A firma de CPA verifica se a descrição é precisa e se os seus controles atendem aos Trust Services Criteria.
- O SOC 2 Type II testa um período. O auditor seleciona amostras de evidências ao longo de toda a janela, então os controles precisam funcionar durante todo o período, não só na semana da auditoria.
SOC 2 Type I ou Type II
- Type I: os seus controles estão bem desenhados, em um determinado momento? Você pode obtê-lo logo que estiver pronto, sem período de observação. O Type I da Qorelo cobriu a categoria Segurança, com opinião sem ressalvas no relatório final.
- Type II: os seus controles realmente funcionaram ao longo de um período, geralmente de 3 a 12 meses? É o que muitos grandes compradores dos EUA acabam querendo.
Um caminho comum para startups é começar pelo Type I, para destravar o negócio que está na sua frente, e partir para o Type II quando os controles já estiverem funcionando há algum tempo.
Como fazer os dois sem repetir o trabalho
- Escreva as políticas uma vez, de um jeito que atenda aos dois. A maioria das políticas da ISO 27001 já cobre o que um auditor de SOC 2 pede.
- Colete as evidências uma vez. Revisões de acesso, entrada e saída de funcionários, aprovações de mudanças, avaliações de fornecedores e registros de incidentes servem para as duas auditorias.
- Faça a auditoria daquele que o seu próximo negócio exige. Para a maioria das startups do Reino Unido e da Europa, é a ISO 27001.
- Mapeie o segundo a partir do que você já tem. Na nossa experiência, muito do que uma firma de CPA pede, como aceites de políticas, amostras de mudanças, evidências de MFA e listas de fornecedores, já foi coletado para a ISO 27001.
- Escreva a descrição do sistema do SOC 2 a partir do escopo e da lista de ativos da ISO 27001.
- Mostre os dois em um só lugar. Um Trust Center com o seu certificado, o status do seu SOC 2 e as suas políticas responde a muitas perguntas antes que os compradores enviem um questionário. O Trust Center da Qorelo mostra a certificação ISO 27001 e o SOC 2 Type I lado a lado, e os compradores solicitam ali o certificado e os relatórios; a Qorelo analisa cada pedido.
Quanto custa
Para a ISO 27001, as faixas do mercado britânico para uma equipe de até 10 pessoas somam cerca de £ 11.300 a £ 31.500 no primeiro ano, sem IVA: a auditoria, software ou um consultor, e um teste de intrusão. O guia de custos da ISO 27001 detalha cada item, com fontes.
O SOC 2 tem outra estrutura de preço. Os honorários da firma de CPA dependem do tipo de relatório, dos critérios incluídos e do tamanho do seu sistema, e um Type II costuma custar mais que um Type I. Se você se preparar para os dois ao mesmo tempo, a maior parte do custo de preparação é compartilhada.
Onde a Kantis entra
A Kantis combina o software com apoio prático para os dois: a análise de lacunas, políticas que funcionam para a ISO 27001 e para o SOC 2, a coleta de evidências, a auditoria interna, a descrição do sistema do SOC 2, a coordenação com o seu organismo certificador ou com a sua firma de CPA e um Trust Center para os seus compradores. O organismo certificador emite o certificado ISO 27001, e a firma de CPA emite o relatório SOC 2.
Para o processo completo da ISO 27001, do escopo ao certificado, leia o nosso guia de ISO 27001 para startups. Para um exemplo de quanto tempo a equipe dedica, leia o estudo de caso da Centinel Analytica.
Fale com um fundador sobre o seu caminho para a ISO e você sai da conversa sabendo de qual dos dois os seus compradores precisam primeiro e qual é o caminho confiável mais rápido até lá. As conversas são em inglês.