Evidencias reutilizables entre SOC 2, ISO 27001 y PCI DSS
Las organizaciones con tres auditorías suelen recopilar las mismas capturas de pantalla tres veces. La mayoría de las evidencias puede servir para las tres, si se recopilan teniendo en cuenta al auditor más exigente.
Una organización con SOC 2, ISO 27001 y PCI DSS puede dedicar con facilidad más tiempo a responder solicitudes de evidencias que a ejecutar controles. Cada auditor pide «la revisión de accesos», «los escaneos de vulnerabilidades», «la prueba de incidentes», con formatos y períodos ligeramente distintos. La mayor parte de esa evidencia es la misma. El truco está en recopilarla una vez, en un formato que satisfaga al más exigente de los tres.
Por qué el solapamiento es amplio
Los tres marcos comparten la mayor parte de su materia de seguridad. Al pasar de ISO 27001 a SOC 2, por ejemplo:
De los 61 criterios de SOC 2, 41 (67%) se corresponden con algo en ISO 27001, 0 solo guardan una relación tangencial y 20 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →
Y de ISO 27001 a PCI DSS, el solapamiento es menor pero sigue siendo sustancial en gobernanza y procesos:
De los 260 requisitos de PCI DSS, 77 (30%) se corresponden con algo en ISO 27001, 76 solo guardan una relación tangencial y 107 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →
Cuando los requisitos se corresponden, la evidencia normalmente también se solapa.
Evidencias que sirven a los tres
| Evidencia | SOC 2 | ISO 27001 | PCI DSS |
|---|---|---|---|
| Revisiones de accesos de usuarios (con firma de conformidad y cambios realizados) | CC6.2, CC6.3 | A.5.18 | 7.2.4 (cada seis meses) |
| Tickets de alta y baja con aprobaciones | CC6.2 | A.5.16, A.5.18, A.6.5 | 8.2.4, 8.2.5 |
| Tickets de cambio con revisión, pruebas y aprobación | CC8.1 | A.8.32 | 6.5.1, 6.5.2 |
| Resultados de escaneos de vulnerabilidades y remediación | CC7.1 | A.8.8 | 11.3.1, 11.3.2, 6.3.3 |
| Informes de pruebas de penetración y repruebas | CC4.1, CC7.1 | A.8.8 | 11.4.1 a 11.4.4 |
| Registro de incidentes y prueba de respuesta | CC7.3 a CC7.5 | A.5.24 a A.5.27 | 12.10.1, 12.10.2 |
| Registros de formación en concienciación de seguridad | CC1.4, CC2.2 | A.6.3 | 12.6.1 a 12.6.3 |
| Registros de diligencia debida de proveedores | CC9.2 | A.5.19 a A.5.22 | 12.8.1 a 12.8.5 |
| Pruebas de restauración de copias de seguridad | A1.2, A1.3 | A.8.13 | 9.4.1.1, 12.10.1 |
| Evaluación de riesgos y su revisión | CC3.1 a CC3.4 | 6.1.2, 8.2 | 12.3.1 |
Recopilar según el estándar más exigente
- Frecuencia: PCI DSS suele fijar la cadencia más exigente (revisiones de accesos semestrales, escaneos trimestrales). Si ejecutas los controles con la frecuencia de PCI, los demás quedan cubiertos.
- Período: SOC 2 Tipo II toma muestras de todo el período de observación. Conserva la evidencia de forma continua, no solo antes de las auditorías.
- Completitud: los auditores de ISO pueden preguntar cómo sabes que la población está completa. Conserva la lista completa (todas las bajas, todos los cambios), no solo los ejemplos que elegirías.
- Procedencia: la evidencia generada por el sistema (exportaciones, registros, tickets con marca de tiempo) es mejor que las capturas de pantalla de una pantalla preparada por alguien.
Una estructura sencilla
Un único repositorio de evidencias, organizado por control y no por marco. Cada carpeta de control contiene la evidencia de cada período, con nombres coherentes, y un índice breve que indica qué requisitos de cada marco cubre. Cuando un auditor pide «evidencia de 7.2.4», buscas el control, no el marco.
Conclusiones clave
- La mayoría de las evidencias (revisiones de accesos, tickets de cambio, escaneos, registros de incidentes, formación) sirve a la vez para SOC 2, ISO 27001 y PCI DSS.
- Recopila según el estándar más exigente: las frecuencias de PCI y el período continuo de SOC 2.
- Organiza la evidencia por control, no por marco, con un índice de lo que cumple cada elemento.
- Algunos elementos no se reutilizan, en particular los escaneos ASV y los registros del sistema de gestión de ISO.
Lo que no se reutiliza
- Escaneos específicos de PCI: los escaneos externos deben realizarlos un Proveedor Aprobado de Escaneo (ASV).
- Análisis de riesgos dirigidos de PCI para los requisitos de frecuencia flexible.
- Registros del sistema de gestión de ISO: los informes de auditoría interna, las actas de revisión por la dirección y los registros de acciones correctivas son propios de ISO (aunque los auditores de SOC 2 los valoran).
- Descripción del sistema SOC 2: tu propia descripción narrativa del sistema en alcance.
Nuestro artículo sobre un conjunto de controles común para SOC 2 e ISO 27001 explica cómo diseñar los controles; el análisis de brechas recoge las correspondencias entre cualquier par de marcos.
Preguntas
¿Se puede usar la misma evidencia para SOC 2 e ISO 27001?
Normalmente, sí. Ambos buscan pruebas de que los controles funcionan: tickets, revisiones, resultados de escaneos y registros de formación. SOC 2 Tipo II requiere muestras de todo el período de observación, así que recopila la evidencia de forma continua.
¿Qué evidencia necesita PCI DSS que SOC 2 no requiere?
Evidencia de frecuencias y configuraciones específicas de PCI: escaneos internos trimestrales y escaneos externos ASV, revisiones semestrales de accesos y de reglas de cortafuegos, análisis de riesgos dirigidos y configuraciones específicas para datos de titulares de tarjetas.
¿Durante cuánto tiempo debe conservarse la evidencia de auditoría?
Como mínimo hasta que cierre el siguiente ciclo de auditoría, y más tiempo cuando un marco o una ley lo exija; PCI DSS, por ejemplo, exige 12 meses de historial de registros de auditoría.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-13Requisitos de MFA comparados en 11 marcos de seguridadQué marcos exigen MFA, a quién y con qué rigor: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 y HIPAA, comparados en paralelo.
Análisis · 2026-09-15Requisitos de cifrado comparados: qué exige cada marco y qué deja a tu criterioCómo tratan ISO 27001, PCI DSS, CMMC, HIPAA, RGPD [GDPR] y NIS2 el cifrado en reposo, en tránsito y la gestión de claves, con los ID de los requisitos.