Criterios de SOC 2 sin equivalente en ISO 27001 y su razón de ser
Un certificado ISO 27001 le lleva gran parte del camino hacia un informe SOC 2, pero no todo. Los criterios que no se trasladan proceden todos de dos categorías opcionales.
Si su organización ya tiene ISO 27001 y un cliente solicita un informe SOC 2, buena parte del trabajo está hecho. Los controles de seguridad se solapan en gran medida, y el SGSI proporciona a los auditores de SOC 2 la evidencia de gobernanza que buscan. Pero un grupo de criterios de SOC 2 no tiene ningún homólogo en ISO 27001, y conviene conocerlos antes de acordar el alcance con su auditor.
La cifra principal
De los 61 criterios de SOC 2, 41 (67%) se corresponden con algo en ISO 27001, 0 solo guardan una relación tangencial y 20 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →
Ningún criterio de SOC 2 es simplemente "Relación tangencial" con ISO: cada uno se corresponde o no se corresponde. Esa división tan nítida es una pista de lo que ocurre.
Los criterios sin correspondencia con ISO
| SOC 2 | Requisito | Coincidencia | ISO 27001 |
|---|---|---|---|
| P1.1 | Privacy notice | Sin correspondencia en nuestros datos | — |
| P2.1 | Choice and consent | Sin correspondencia en nuestros datos | — |
| P3.1 | Collection limited to privacy objectives | Sin correspondencia en nuestros datos | — |
| P3.2 | Explicit consent where required | Sin correspondencia en nuestros datos | — |
| P4.1 | Use limited to privacy objectives | Sin correspondencia en nuestros datos | — |
| P5.1 | Data subject access | Sin correspondencia en nuestros datos | — |
| P5.2 | Correction of personal information | Sin correspondencia en nuestros datos | — |
| P6.1 | Disclosure to third parties with consent | Sin correspondencia en nuestros datos | — |
| P6.2 | Record of authorized disclosures | Sin correspondencia en nuestros datos | — |
| P6.3 | Record of unauthorized disclosures | Sin correspondencia en nuestros datos | — |
| P6.4 | Privacy commitments from third parties | Sin correspondencia en nuestros datos | — |
| P6.5 | Notification by third parties of unauthorized disclosures | Sin correspondencia en nuestros datos | — |
| P6.7 | Accounting of disclosures to data subjects | Sin correspondencia en nuestros datos | — |
| P7.1 | Quality of personal information | Sin correspondencia en nuestros datos | — |
| P8.1 | Handling privacy inquiries, complaints and disputes | Sin correspondencia en nuestros datos | — |
| PI1.1 | Information about processing objectives | Sin correspondencia en nuestros datos | — |
| PI1.2 | Controls over system inputs | Sin correspondencia en nuestros datos | — |
| PI1.3 | Controls over system processing | Sin correspondencia en nuestros datos | — |
| PI1.4 | Controls over system outputs | Sin correspondencia en nuestros datos | — |
| PI1.5 | Storing inputs, items in processing and outputs | Sin correspondencia en nuestros datos | — |
Todos los criterios de la lista proceden de dos de las cinco categorías de SOC 2: Integridad del Procesamiento (PI1) y Privacidad (P1 a P8). Ambas son opcionales. La categoría de Seguridad, los criterios comunes CC1 a CC9 que incluye todo informe SOC 2, se corresponde por completo, al igual que Disponibilidad y Confidencialidad.
Por qué la Integridad del Procesamiento no tiene equivalente en ISO
La Integridad del Procesamiento comprueba si un sistema procesa los datos de forma completa, exacta, a tiempo y según lo autorizado: que las entradas se validan, que los errores de procesamiento se detectan, que las salidas llegan al destino correcto y que los datos almacenados se mantienen coherentes. Se centra en la corrección del propio servicio, no en la seguridad que lo rodea.
ISO 27001 es una norma de seguridad de la información. Protege la confidencialidad, la integridad y la disponibilidad de la información, pero la "integridad" en ese contexto significa protección frente a modificaciones no autorizadas, no comprobar si una nómina calculó correctamente cada salario. Ningún control del Anexo A le exige validar el procesamiento de negocio. Por tanto, si un cliente depende de su sistema para obtener cifras correctas (pagos, facturación, nóminas, reclamaciones, flujos de datos), la Integridad del Procesamiento supone trabajo nuevo aunque su SGSI esté maduro: validación de entradas, conciliación, gestión de errores y controles de salida, con su evidencia.
Por qué la mayoría de los criterios de Privacidad no tienen equivalente en ISO
Los criterios de Privacidad de SOC 2 siguen el ciclo de vida de la información personal: aviso (P1), elección y consentimiento (P2), recogida (P3), uso, conservación y eliminación (P4), acceso y rectificación (P5), comunicación a terceros (P6), calidad (P7) y supervisión y reclamaciones (P8). Son requisitos de un programa de privacidad, más cercanos al RGPD que a la seguridad.
ISO 27001 toca algunos de ellos. A.5.34 exige identificar y cumplir las obligaciones de protección de datos personales, A.5.33 cubre la protección de registros y A.8.10 la eliminación de información. Por eso la conservación (P4.2), la eliminación (P4.3) y la notificación de brechas (P6.6) sí se corresponden en nuestros datos, mediante enlaces editoriales con motivos indicados. El resto, como los avisos de privacidad, el consentimiento, las solicitudes de acceso de los interesados y los registros de comunicaciones a terceros, no tiene control en el Anexo A.
Si los necesita, la norma ISO/IEC 27701 amplía un SGSI hasta convertirlo en un sistema de gestión de la información de privacidad y es la norma complementaria natural. En el ámbito del RGPD, consulte cómo se compara ISO 27001 con los artículos de seguridad del RGPD.
Qué hacer al respecto
- Acuerde primero el alcance. Incluya la Integridad del Procesamiento o la Privacidad solo si los clientes los necesitan. Muchos informes SOC 2 cubren solo la Seguridad, o la Seguridad junto con la Disponibilidad y la Confidencialidad.
- Si los incluye, trátelos como controles nuevos, no como un ejercicio de correspondencia con ISO: redáctelos, ejecútelos y conserve evidencias durante todo el periodo de observación.
- Reutilice el SGSI para todo lo demás. El informe de brechas ISO 27001 → SOC 2 enumera cada criterio con su correspondencia ISO, y nuestra entrada sobre cómo ejecutar un único conjunto de controles para ambos explica el procedimiento.
El sentido contrario es otra historia: al pasar de SOC 2 a ISO 27001, el trabajo nuevo es el propio sistema de gestión. La comparación ISO 27001 vs SOC 2 cubre ambos sentidos.
Nota sobre los datos
No existe ninguna correspondencia de SOC 2 con licencia abierta, así que cada enlace de SOC 2 de este sitio es un criterio editorial de ControlMapping, con el motivo indicado en cada página de requisito. Las cifras anteriores se calculan en tiempo real a partir de los datos actuales.
Preguntas
¿ISO 27001 cubre los criterios de Privacidad de SOC 2?
En su mayor parte, no. ISO 27001 protege los datos personales como información (A.5.34), pero no exige avisos de privacidad, consentimiento, acceso de los interesados ni registros de comunicaciones a terceros. ISO/IEC 27701 amplía un SGSI a la gestión de la privacidad y es la correspondencia más cercana.
¿Tengo que incluir la Integridad del Procesamiento en un informe SOC 2?
No. Solo es obligatoria la categoría de Seguridad (los criterios comunes). Añada la Integridad del Procesamiento cuando los clientes dependan de su sistema para procesar sus datos de forma completa y exacta, por ejemplo pagos o nóminas.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadasEl Cyber Essentials del Reino Unido y el Essential Eight de Australia persiguen ambos los ataques más comunes, pero cubren terrenos distintos. Qué se solapa, qué no y por qué.
Análisis · 2026-10-27DORA frente a NIS2: qué cubre ya un programa NIS2DORA y NIS2 comparten casi todo su contenido de seguridad; DORA añade registro, cláusulas y pruebas basadas en amenazas. Qué se traslada, artículo por artículo.