Un único conjunto de controles para SOC 2 e ISO 27001: ejecuta ambos sin hacer todo dos veces

Las empresas que venden software a nivel internacional acaban a menudo con ambos: un informe SOC 2 para clientes de EE. UU. y un certificado ISO 27001 para el resto. Si los gestionas como dos proyectos, redactarás dos conjuntos de políticas, recopilarás dos veces las mismas evidencias y pasarás por auditorías solapadas. Si los gestionas desde un único conjunto de controles, el segundo marco cuesta una fracción del primero.

Esta es la forma de configurarlo.

Cuánto se solapa

Dirección	Correspondencia	Relación tangencial	Sin correspondencia
Tiene ISO 27001 → necesita SOC 2	41 de 61 (67%)	0	20	informe →
Tiene SOC 2 → necesita ISO 27001	98 de 123 (80%)	21	4	informe →

Al pasar de SOC 2 a ISO 27001, casi todos los controles del Anexo A y las cláusulas del SGSI se corresponden con un criterio de SOC 2. Los pocos sin correspondencia son los mecanismos propios del sistema de gestión de ISO: definir el propio SGSI y controlar la información documentada. En sentido inverso, los criterios de SOC 2 sin equivalente en ISO son las categorías opcionales de Privacidad e Integridad del Procesamiento; los criterios de Seguridad sí tienen correspondencia.

Por tanto, el solapamiento está en los controles de seguridad. Las diferencias están en la estructura: ISO exige un sistema de gestión en torno a los controles, mientras que SOC 2 exige demostrar que funcionaron durante un periodo.

Paso 1: elige una columna vertebral

Un conjunto de controles común necesita una estructura principal a la que se asigne todo lo demás. Usa el Anexo A de ISO 27001 como columna vertebral si tienes o quieres el certificado, porque la Declaración de Aplicabilidad ya enumera cada control con una justificación. Usa los criterios de SOC 2 si el informe es tu entregable principal. Cualquiera de las dos opciones funciona; lo importante es que cada control tenga un único punto de referencia.

Paso 2: redacta cada control una sola vez

Para cada control, mantén un único registro con:

• Una descripción clara de lo que haces ("El acceso a producción se concede mediante un ticket aprobado por el propietario del sistema y revisado trimestralmente").
• Un responsable y una frecuencia.
• Las referencias de marco que satisface, por ejemplo ISO A.5.15 y A.5.18, SOC 2 CC6.1–CC6.3.
• La evidencia que genera y dónde se almacena.

Las referencias provienen de una correspondencia como la nuestra. En el caso del control de acceso, tiene este aspecto:

Marco	Control de acceso	Vínculo
NIST CSF 2.0	PR.AA-01PR.AA-05	Definición del tema
ISO 27001	A.5.15A.5.16A.5.18A.8.3	Correspondencia
CIS v8.1	CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5	Correspondencia
SOC 2	CC6.1CC6.2CC6.3	Editorial
PCI DSS	7.2.17.2.27.2.48.2.1	Correspondencia
CMMC	AC.L2-3.1.1AC.L2-3.1.2	Correspondencia
800-53	AC-2AC-3	Correspondencia
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	Correspondencia
GDPR	Art.25(2)Art.32(1)(b)	Editorial
NIS2	11.111.211.5	Correspondencia
Essential Eight	—	Sin correspondencia en nuestros datos

Detalle completo y motivo de cada vínculo: Control de acceso en todos los marcos →

Paso 3: recopila la evidencia una vez y etiquétala dos veces

Los auditores de SOC 2 Tipo II toman muestras de evidencias de todo el periodo de observación: tickets, revisiones, análisis, registros de formación. Los auditores de vigilancia de ISO piden los mismos tipos de registros. Recopila cada elemento una sola vez, en un único lugar, y etiquétalo con todas las referencias de marco que tenga asociadas su control.

Paso 4: alinea los calendarios

• Inicia el periodo de observación de SOC 2 cuando tus controles hayan estado en funcionamiento unas semanas, no el día en que se implantan.
• Programa las auditorías internas de ISO y las revisiones por la dirección para que generen registros dentro del periodo de SOC 2: también son buenas evidencias de gobierno para los criterios comunes de SOC 2.
• Pregunta si tus auditores pueden coordinar el trabajo de campo. Aunque no puedan, agrupar ambas auditorías en fechas cercanas supone una sola ronda de solicitudes de evidencia.

Paso 5: cubre las brechas que deja cada lado

Ejecuta el informe de brechas SOC 2 → ISO 27001 y el inverso. Prevé dos tipos de trabajo nuevo:

• Para ISO: el sistema de gestión. Alcance, objetivos, evaluación y tratamiento de riesgos, la Declaración de Aplicabilidad, auditoría interna, revisión por la dirección y acciones correctivas.
• Para SOC 2: las categorías opcionales que incluyas y el hábito de conservar evidencias de forma continua durante un periodo completo.

Nuestra comparativa ISO 27001 vs SOC 2 enumera cada requisito en ambos sentidos, y las guías de SOC 2 e ISO 27001 explican las propias auditorías.

Nota sobre las correspondencias

No existe una correspondencia de SOC 2 con licencia abierta, así que cada enlace de SOC 2 de este sitio es un criterio editorial de ControlMapping, con la justificación mostrada. Usa la correspondencia para diseñar el conjunto de controles y, antes de confiar en ella, confirma los detalles con tus auditores.

Preguntas

¿Puede un mismo auditor realizar SOC 2 e ISO 27001 conjuntamente?

Algunas firmas tienen tanto una práctica de CPA como un organismo de certificación acreditado y coordinan las auditorías, pero siguen siendo dos encargos con dos entregables: un informe SOC 2 y un certificado ISO 27001.

¿Cuál debe ir primero, SOC 2 o ISO 27001?

El que te pidan antes tus clientes. Si construyes el conjunto de controles común descrito aquí, el segundo añade sobre todo las cláusulas del sistema de gestión (en el caso de ISO) o el periodo de evidencias y los criterios opcionales (en el caso de SOC 2).