ISO 27001 frente a SOC 2: qué se traslada y qué no
ISO/IEC 27001:2022 · SOC 2 (Trust Services Criteria) · datos 2026-10-27
Por Paul Gillet · Actualizado 2026-10-17
ISO/IEC 27001 y SOC 2 responden a la misma pregunta de los clientes, «¿podemos confiarle nuestros datos?», pero de formas distintas. ISO 27001 certifica un sistema de gestión: un organismo de certificación acreditado confirma que usted gestiona un sistema de gestión de seguridad de la información (SGSI) que cumple las cláusulas 4 a 10 y que ha decidido, en una Declaración de Aplicabilidad, cuáles de los 93 controles del Anexo A son aplicables. SOC 2 es un informe de atestación: una firma de CPA emite un informe sobre si sus controles cumplen los Trust Services Criteria del AICPA. Un informe Tipo II cubre cómo funcionaron los controles durante un periodo, normalmente de 3 a 12 meses.
El solapamiento técnico es amplio. El control de acceso, el registro y la monitorización, la gestión de cambios, la gestión de vulnerabilidades, la respuesta a incidentes, la gestión de proveedores y las copias de seguridad aparecen en ambos, y la mayor parte del trabajo de seguridad que realiza para uno cuenta también para el otro. Las diferencias están en la estructura y el enfoque, más que en los controles en sí.
Al pasar de SOC 2 a ISO 27001, el trabajo adicional real es el sistema de gestión. ISO exige un alcance definido del SGSI, objetivos de seguridad de la información, información documentada bajo control, un proceso de evaluación y tratamiento de riesgos con una Declaración de Aplicabilidad, auditorías internas y revisiones por la dirección. Estas son las cláusulas de ISO que aparecen como sin correspondencia más abajo, además de algunos controles del Anexo A (en particular la seguridad física) que los auditores de SOC 2 suelen tratar con menos rigor en empresas que operan solo en la nube.
Al pasar de ISO 27001 a SOC 2, casi todos los criterios de seguridad, incluidos los del entorno de control (supervisión por el consejo, integridad y valores éticos, responsabilidad), tienen un equivalente en ISO. El trabajo nuevo está en las categorías opcionales que incluya. Integridad del procesamiento y la mayoría de los criterios de privacidad no tienen equivalente en el SGSI y aparecen aquí sin correspondencia; las excepciones son la conservación, la eliminación y la notificación de brechas, que en parte cubren los controles de registros, supresión e incidentes de ISO. La disponibilidad y la confidencialidad suelen estar muy cerca de lo que ya exige ISO.
De un vistazo
| ISO 27001 | SOC 2 | |
|---|---|---|
| Lo que obtiene | Un certificado para su SGSI, válido tres años | Un informe: la opinión de una firma de CPA sobre sus controles |
| Quién lo emite | Un organismo de certificación acreditado | Una firma de CPA habilitada |
| Qué se evalúa | El sistema de gestión (cláusulas 4–10) y los controles del Anexo A que eligió en su Declaración de Aplicabilidad | Controles frente a los Trust Services Criteria: Seguridad, más cualquiera de Disponibilidad, Confidencialidad, Integridad del procesamiento y Privacidad |
| Periodo cubierto | Auditorías puntuales: Etapa 1 y 2, después seguimiento anual | Tipo I: una fecha. Tipo II: normalmente de 3–12 meses de funcionamiento |
| Quién lo solicita | Clientes de todo el mundo, especialmente en Europa, Asia y el sector público | Principalmente los equipos de riesgo de proveedores de clientes estadounidenses |
| ¿Se comparte públicamente? | El certificado, sí; el informe de auditoría, no | No: se comparte bajo acuerdo de confidencialidad (NDA) |
| Esfuerzo típico la primera vez | De seis a doce meses, sobre todo para construir el SGSI | De tres a nueve meses hasta un primer Tipo II, sobre todo para reunir evidencias |
¿Cuál necesita?
Empiece por quién lo pide. Si los clientes empresariales de EE. UU. envían cuestionarios de seguridad que piden «su SOC 2», un informe SOC 2 Tipo II es lo que cierra la operación; un certificado ISO suele aceptarse, pero no siempre. Si los clientes están en Europa, Asia o el sector público, o las licitaciones citan ISO/IEC 27001, el certificado es la respuesta esperada. Muchas empresas de software que venden internacionalmente acaban teniendo ambos.
Si todavía nadie lo pide, ISO 27001 construye un programa más duradero, porque el sistema de gestión obliga a evaluar riesgos, fijar objetivos, realizar auditorías internas y revisiones por la dirección. SOC 2 llega antes a un primer entregable si una operación concreta depende de él.
Hacer ambos sin hacer todo dos veces
- Construya un único conjunto de controles. Asigne cada control a su control del Anexo A y a su criterio de Trust Services; la comparación siguiente muestra dónde coinciden.
- Escriba el SGSI una sola vez. El alcance, la evaluación de riesgos, la Declaración de Aplicabilidad, la auditoría interna y la revisión por la dirección son requisitos de ISO, pero también proporcionan a los auditores de SOC 2 las evidencias de gobernanza que piden CC1–CC5.
- Recopile evidencias de forma continua. SOC 2 Tipo II toma muestras de evidencias a lo largo del periodo, de modo que las evidencias recogidas para él también sirven para las auditorías de seguimiento de ISO.
- Alinee el calendario de auditorías. Algunas firmas ofrecen auditorías combinadas o consecutivas; alinear el periodo de SOC 2 con el ciclo de seguimiento de ISO reduce las interrupciones.
- Vigile las brechas en ambas direcciones. SOC 2 añade Privacidad e Integridad del procesamiento si están en el alcance; ISO añade las cláusulas del sistema de gestión y la seguridad física, que los alcances de SOC 2 solo en la nube tratan con menos rigor.
Coste y esfuerzo
Ninguno tiene un precio fijo. La tarifa externa (organismo de certificación o firma de CPA) depende del alcance, del número de empleados y de las ubicaciones, y suele ser menor que el esfuerzo interno y las herramientas. En una pequeña empresa que se certifica por primera vez, presupueste meses de trabajo a tiempo parcial de alguien que sea responsable del programa, además de la tarifa de auditoría. Hacer ambos cuesta menos que el doble de cualquiera de los dos, porque la mayoría de los controles y evidencias son compartidos.
Un calendario realista para hacer ambos
Una ruta habitual para una empresa de software que empieza con SOC 2:
- Meses 1–3: preparación. Defina el alcance del sistema, redacte las políticas, cierre las brechas que detecte el análisis de brechas y elija una firma de CPA.
- Mes 3: Tipo I (opcional), en cuanto los controles estén diseñados e implantados.
- Meses 3–9: primer periodo de observación Tipo II, normalmente de tres a seis meses, con el informe unas semanas después de que termine.
- Meses 6–12: añada el SGSI. Defina el alcance de ISO, realice la evaluación de riesgos, redacte la Declaración de Aplicabilidad y celebre una auditoría interna y una revisión por la dirección. La mayoría de los controles del Anexo A ya se aplican para SOC 2.
- Meses 10–14: auditorías de ISO Etapa 1 y Etapa 2.
Empezar con ISO 27001 invierte el orden: de seis a doce meses hasta la certificación, después una comprobación de preparación para SOC 2 y un periodo de observación de tres a seis meses. En cualquier caso, el segundo marco requiere una fracción del tiempo del primero.
Ejemplo práctico: una empresa SaaS de 50 personas
Considere una empresa de software B2B de 50 personas con un informe SOC 2 Tipo II que cubre Seguridad, Disponibilidad y Confidencialidad. Un gran cliente europeo ahora exige la certificación ISO 27001.
Qué se traslada: control de acceso, gestión de cambios, registro y monitorización, gestión de vulnerabilidades, respuesta a incidentes, gestión de proveedores, copias de seguridad y continuidad de negocio. La empresa ya aplica estos controles y recoge evidencias para ellos, así que pasan a la Declaración de Aplicabilidad en gran medida tal como están.
Qué es nuevo: el propio SGSI. La empresa necesita un alcance documentado (probablemente el producto, su infraestructura y los equipos que lo operan), objetivos de seguridad de la información con mediciones, un método formal de evaluación de riesgos y su registro, una Declaración de Aplicabilidad con exclusiones justificadas, una auditoría interna realizada por alguien independiente del trabajo y una revisión por la dirección con actas. Algunos controles del Anexo A también requieren atención, normalmente la seguridad física de la oficina e inteligencia de amenazas.
Qué cuesta: principalmente el tiempo de quien es responsable del SGSI, además de las tarifas del organismo de certificación y de un auditor interno externo si no hay nadie independiente disponible. Como los controles y las evidencias ya existen, el segundo marco cuesta mucho menos que el primero.
Conclusiones clave
- Use un único conjunto de controles y documéntelo dos veces. Asigne cada control a un control del Anexo A y a un criterio de Trust Services.
- SOC 2 → ISO: presupueste el propio SGSI (alcance, objetivos, tratamiento de riesgos, SoA, auditoría interna, revisión por la dirección), no nuevos controles técnicos.
- ISO → SOC 2: decida pronto en qué categorías opcionales está en el alcance. Privacidad e Integridad del procesamiento son donde aparece el trabajo nuevo.
Descargar esta comparación (CSV) Abrir en análisis de brechas →
Tiene ISO 27001 → necesita SOC 2
61 req. 41 asignados · · 20 sin asignación Abrir en vista de brechas →De los 61 requisitos de SOC 2 (Trust Services Criteria), 41 se corresponden con algo en ISO 27001, 0 solo guardan una relación tangencial y 20 no tienen correspondencia en nuestros datos.
Las correspondencias de SOC 2 de AICPA no tienen licencia abierta, por lo que cada enlace a SOC 2 aquí es una selección editorial de ControlMapping: los criterios que no hemos correlacionado no pueden coincidir. Los criterios de integridad del procesamiento (PI) y la mayoría de los criterios de privacidad (P) no tienen equivalente en los marcos de seguridad.
Probablemente trabajo nuevo: requisitos de SOC 2 sin correspondencia con ISO 27001 (20)
| SOC 2 | Requisito | Coincidencia | ISO 27001 | Evidencia |
|---|---|---|---|---|
| P Privacy · 15 | ||||
| P1.1 | Privacy notice | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P2.1 | Choice and consent | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P3.1 | Collection limited to privacy objectives | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P3.2 | Explicit consent where required | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P4.1 | Use limited to privacy objectives | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P5.1 | Data subject access | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P5.2 | Correction of personal information | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P6.1 | Disclosure to third parties with consent | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P6.2 | Record of authorized disclosures | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P6.3 | Record of unauthorized disclosures | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P6.4 | Privacy commitments from third parties | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P6.5 | Notification by third parties of unauthorized disclosures | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P6.7 | Accounting of disclosures to data subjects | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P7.1 | Quality of personal information | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| PI1.2 | Controls over system inputs | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| PI1.3 | Controls over system processing | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| PI1.4 | Controls over system outputs | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| PI1.5 | Storing inputs, items in processing and outputs | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
Correspondencia (41)
| SOC 2 | Requisito | Coincidencia | ISO 27001 | Evidencia |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Editorial | A.5.29A.5.30A.8.14+1 | Mismo tema: Continuidad del negocio (selección editorial) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Editorial | A.5.29A.5.30A.8.13+2 | Mismo tema: Continuidad del negocio, Recuperación ante desastres, Copias de seguridad y recuperación (selección editorial) |
| A1.3 | Testing recovery plan procedures | Editorial | A.5.29A.5.30A.8.14 | Mismo tema: Planificación de la recuperación, Recuperación ante desastres (selección editorial) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | Editorial | A.5.12A.5.13 | Mismo tema: Clasificación de datos (selección editorial) |
| C1.2 | Disposing of confidential information | Editorial | A.5.14A.8.10A.8.11+1 | Mismo tema: Protección de datos (selección editorial) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Editorial | A.5.1A.5.37Clause 5.2+2 | Mismo tema: Política de gobernanza (selección editorial) |
| CC1.2 | Board independence and oversight of internal control | Editorial | A.5.2A.5.4Clause 5.1+1 | Mismo tema: Funciones y responsabilidades (selección editorial) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Editorial | A.5.2A.5.4Clause 5.3 | Mismo tema: Funciones y responsabilidades (selección editorial) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Editorial | A.6.3Clause 7.3A.6.1+1 | Mismo tema: Concienciación y formación (selección editorial) |
| CC1.5 | Accountability for internal control responsibilities | Editorial | A.5.2A.5.4A.6.4+1 | Mismo tema: Funciones y responsabilidades (selección editorial) |
| CC2 Communication and information · 3 | ||||
| CC2.1 | Quality information to support internal control | Editorial | Clause 9.1 | Selección editorial de ControlMapping: Information used to run internal control: ISO's monitoring, measurement, analysis and evaluation (9.1). |
| CC2.2 | Internal communication of objectives and responsibilities | Editorial | A.6.3Clause 7.3A.5.1+1 | Mismo tema: Concienciación y formación (selección editorial) |
| CC2.3 | Communication with external parties | Editorial | A.5.5A.5.6A.5.26+2 | Mismo tema: Notificación, Comunicación, Comunicaciones y restauración (selección editorial) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Editorial | Clause 4.1Clause 4.2Clause 6.1.1+3 | Mismo tema: Entorno empresarial, Gestión de riesgos (selección editorial) |
| CC3.2 | Risk identification and analysis | Editorial | Clause 6.1.2Clause 6.1.3Clause 8.2 | Mismo tema: Evaluación de riesgos (selección editorial) |
| CC3.3 | Considering the potential for fraud | Editorial | Clause 6.1.2Clause 6.1.3 | Mismo tema: Evaluación de riesgos (selección editorial) |
| CC3.4 | Identifying and assessing significant changes | Editorial | Clause 6.1.2Clause 6.1.3Clause 6.3+1 | Mismo tema: Evaluación de riesgos (selección editorial) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Editorial | A.5.31A.5.36Clause 9.1+2 | Mismo tema: Cumplimiento (selección editorial) |
| CC4.2 | Communicating and remediating control deficiencies | Editorial | A.5.31A.5.36Clause 9.1+2 | Mismo tema: Cumplimiento (selección editorial) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | Editorial | Clause 6.1.1Clause 6.1.3Clause 8.3 | Mismo tema: Gestión de riesgos (selección editorial) |
| CC5.2 | General controls over technology | Editorial | A.8.9Clause 6.1.3 | Mismo tema: Configuración segura (selección editorial) |
| CC5.3 | Control activities deployed through policies and procedures | Editorial | A.5.1A.5.37Clause 5.2 | Mismo tema: Política de gobernanza (selección editorial) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | Editorial | A.5.9A.5.11A.5.15+6 | Mismo tema: Gestión de activos, Control de acceso (selección editorial) |
| CC6.2 | User registration, authorization and removal | Editorial | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso (selección editorial) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Editorial | A.5.15A.5.16A.5.18+4 | Mismo tema: Control de acceso (selección editorial) |
| CC6.4 | Physical access restrictions | Editorial | A.7.1A.7.2A.7.3+6 | Mismo tema: Seguridad física (selección editorial) |
| CC6.5 | Protection of data when assets are disposed of | Editorial | A.5.14A.8.10A.8.11 | Mismo tema: Protección de datos (selección editorial) |
| CC6.6 | Protection against threats from outside system boundaries | Editorial | A.5.15A.8.5A.8.20+3 | Mismo tema: Confianza cero, Cortafuegos / Segmentación de red, WAF (selección editorial) |
| CC6.7 | Restricting transmission, movement and removal of information | Editorial | A.6.7A.8.1A.8.12+1 | Mismo tema: Seguridad móvil, DLP (selección editorial) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Editorial | A.5.14A.8.1A.8.7+1 | Mismo tema: Seguridad del correo electrónico, Protección de endpoints (selección editorial) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Editorial | A.8.8A.8.9 | Mismo tema: Gestión de vulnerabilidades, Gestión de parches, Configuración segura (selección editorial) |
| CC7.2 | Monitoring system components for anomalies | Editorial | A.8.15A.8.16A.8.17 | Mismo tema: Registro y auditoría, Monitoreo cont., Detección de intrusiones, Detección de anomalías (selección editorial) |
| CC7.3 | Evaluating security events to determine if they are incidents | Editorial | A.5.24A.5.25A.5.26+1 | Mismo tema: Respuesta a incidentes, SIEM / SOC (selección editorial) |
| CC7.4 | Responding to identified security incidents | Editorial | A.5.24A.5.25A.5.26+1 | Mismo tema: Respuesta a incidentes, Mitigación (selección editorial) |
| CC7.5 | Recovering from identified security incidents | Editorial | A.5.26A.5.27A.5.29+3 | Mismo tema: Comunicaciones y restauración, Lecciones aprendidas, Planificación de la recuperación (selección editorial) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Editorial | A.8.25A.8.26A.8.28+3 | Mismo tema: Desarrollo seguro (selección editorial) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Editorial | A.5.29A.5.30A.8.14+2 | Mismo tema: Continuidad del negocio (selección editorial) |
| CC9.2 | Managing vendor and business partner risk | Editorial | A.5.19A.5.20A.5.21+2 | Mismo tema: Riesgo de la cadena de suministro, Gestión de riesgos de proveedores (selección editorial) |
| P Privacy · 3 | ||||
| P4.2 | Retention of personal information | Editorial | A.5.33A.5.34 | Selección editorial de ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own. |
| P4.3 | Disposal of personal information | Editorial | A.5.34A.8.10 | Selección editorial de ControlMapping: Securely disposing of personal information: information deletion (A.8.10) and PII protection (A.5.34). |
| P6.6 | Breach notification to affected individuals | Editorial | A.5.24A.5.26A.5.34 | Selección editorial de ControlMapping: Breach notification to affected parties and regulators: ISO's incident planning and response (A.5.24, A.5.26) plus legal PII obligations (A.5.34). ISO itself sets no notification deadline. |
Tiene SOC 2 → necesita ISO 27001
123 req. 98 asignados · · 4 sin asignación Abrir en vista de brechas →De los 123 requisitos de ISO/IEC 27001:2022, 98 se corresponden con algo en SOC 2, 21 solo guardan una relación tangencial y 4 no tienen correspondencia en nuestros datos.
Probablemente trabajo nuevo: requisitos de ISO 27001 sin correspondencia con SOC 2 (4)
| ISO 27001 | Requisito | Coincidencia | SOC 2 | Evidencia |
|---|---|---|---|---|
| ISMS clauses 4–10 · 4 | ||||
| Clause 4.4 | Information security management system | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Clause 7.5.1 | General | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Clause 7.5.2 | Creating and updating | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Clause 7.5.3 | Control of documented information | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (21)
| ISO 27001 | Requisito | Coincidencia | SOC 2 | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 5 | ||||
| A.5.7 | Threat intelligence | CC3.2CC3.3CC3.4 | Solo comparte subcategorías de CSF ID.RA-03, ID.RA-05, ID.RA-06: relacionado, no es una correspondencia | |
| A.5.8 | Information security in project management | CC3.1CC6.1 | Solo comparte subcategorías de CSF GV.OC-05, ID.AM-08: relacionado, no es una correspondencia | |
| A.5.10 | Acceptable use of information and other associated assets | C1.2CC6.5CC6.7+2 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.5.17 | Authentication information | CC6.1CC6.6CC6.2+2 | Solo comparte subcategorías de CSF PR.AA-03, PR.AA-05: relacionado, no es una correspondencia | |
| A.5.32 | Intellectual property rights | CC1.1CC5.3 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | C1.2CC6.5CC6.7+4 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.6.5 | Responsibilities after termination or change of employment | C1.2CC6.5CC6.7+4 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.6.6 | Confidentiality or non-disclosure agreements | CC1.2CC1.3CC1.5 | Solo comparte subcategorías de CSF GV.RR-03: relacionado, no es una correspondencia | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | C1.2CC6.1CC6.4+2 | Solo comparte subcategorías de CSF PR.DS-01, PR.IR-02: relacionado, no es una correspondencia | |
| A.7.9 | Security of assets off-premises | C1.2CC6.1CC6.5+1 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.7.10 | Storage media | CC6.1C1.2CC6.5+1 | Solo comparte subcategorías de CSF ID.AM-08, PR.DS-01: relacionado, no es una correspondencia | |
| A.7.13 | Equipment maintenance | CC6.1CC6.4 | Solo comparte subcategorías de CSF ID.AM-08, PR.IR-02: relacionado, no es una correspondencia | |
| A.8 Technological controls · 7 | ||||
| A.8.4 | Access to source code | CC6.7C1.2CC6.1+5 | Solo comparte subcategorías de CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.8.23 | Web filtering | CC6.6CC9.2 | Solo comparte subcategorías de CSF PR.IR-01: relacionado, no es una correspondencia | |
| A.8.27 | Secure system architecture and engineering principles | A1.1A1.2A1.3+1 | Solo comparte subcategorías de CSF PR.IR-03: relacionado, no es una correspondencia | |
| A.8.30 | Outsourced development | CC4.1CC4.2 | Solo comparte subcategorías de CSF GV.OV-03: relacionado, no es una correspondencia | |
| A.8.31 | Separation of development, test and production environments | CC6.6CC8.1 | Solo comparte subcategorías de CSF PR.PS-06: relacionado, no es una correspondencia | |
| A.8.33 | Test information | C1.2CC6.1CC6.5+1 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.8.34 | Protection of information systems during audit testing | CC4.1CC4.2 | Solo comparte subcategorías de CSF GV.OV-03: relacionado, no es una correspondencia | |
| ISMS clauses 4–10 · 2 | ||||
| Clause 7.1 | Resources | CC1.2CC1.3CC1.5 | Solo comparte subcategorías de CSF GV.RR-03: relacionado, no es una correspondencia | |
| Clause 8.1 | Operational planning and control | CC9.2A1.1A1.2+2 | Solo comparte subcategorías de CSF GV.SC-01, GV.SC-03, RC.RP-04: relacionado, no es una correspondencia | |
Correspondencia (98)
| ISO 27001 | Requisito | Coincidencia | SOC 2 | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 32 | ||||
| A.5.1 | Policies for information security | Editorial | CC1.1CC5.3CC2.2 | Mismo tema: Política de gobernanza (selección editorial) |
| A.5.2 | Information security roles and responsibilities | Editorial | CC1.2CC1.3CC1.5 | Mismo tema: Funciones y responsabilidades (selección editorial) |
| A.5.3 | Segregation of duties | Editorial | CC6.3 | Selección editorial de ControlMapping: Role-based access with least privilege and segregation of duties: A.5.3, access rights (A.5.18) and privileged access (A.8.2). |
| A.5.4 | Management responsibilities | Editorial | CC1.2CC1.3CC1.5 | Mismo tema: Funciones y responsabilidades (selección editorial) |
| A.5.5 | Contact with authorities | Editorial | CC2.3 | Mismo tema: Notificación (selección editorial) |
| A.5.6 | Contact with special interest groups | Editorial | CC2.3 | Mismo tema: Comunicación (selección editorial) |
| A.5.9 | Inventory of information and other associated assets | Editorial | CC6.1 | Mismo tema: Gestión de activos (selección editorial) |
| A.5.11 | Return of assets | Editorial | CC6.1 | Mismo tema: Gestión de activos (selección editorial) |
| A.5.12 | Classification of information | Editorial | C1.1 | Mismo tema: Clasificación de datos (selección editorial) |
| A.5.13 | Labelling of information | Editorial | C1.1 | Mismo tema: Clasificación de datos (selección editorial) |
| A.5.14 | Information transfer | Editorial | C1.2CC6.5CC6.8 | Mismo tema: Protección de datos, Seguridad del correo electrónico (selección editorial) |
| A.5.15 | Access control | Editorial | CC6.1CC6.2CC6.3+1 | Mismo tema: Control de acceso (selección editorial) |
| A.5.16 | Identity management | Editorial | CC6.1CC6.2CC6.3 | Mismo tema: Control de acceso (selección editorial) |
| A.5.18 | Access rights | Editorial | CC6.1CC6.2CC6.3 | Mismo tema: Control de acceso (selección editorial) |
| A.5.19 | Information security in supplier relationships | Editorial | CC9.2 | Mismo tema: Riesgo de la cadena de suministro, Gestión de riesgos de proveedores (selección editorial) |
| A.5.20 | Addressing information security within supplier agreements | Editorial | CC9.2 | Mismo tema: Gestión de riesgos de proveedores (selección editorial) |
| A.5.21 | Managing information security in the ICT supply chain | Editorial | CC9.2 | Mismo tema: Riesgo de la cadena de suministro (selección editorial) |
| A.5.22 | Monitoring, review and change management of supplier services | Editorial | CC9.2 | Mismo tema: Gestión de riesgos de proveedores (selección editorial) |
| A.5.23 | Information security for use of cloud services | Editorial | CC9.2 | Mismo tema: Seguridad en la nube (selección editorial) |
| A.5.24 | Information security incident management planning and preparation | Editorial | CC7.3CC7.4P6.6 | Mismo tema: Respuesta a incidentes (selección editorial) |
| A.5.25 | Assessment and decision on information security events | Editorial | CC7.3CC7.4 | Mismo tema: SIEM / SOC, Respuesta a incidentes (selección editorial) |
| A.5.26 | Response to information security incidents | Editorial | CC2.3CC7.3CC7.4+2 | Mismo tema: Comunicaciones y restauración, Respuesta a incidentes, Mitigación (selección editorial) |
| A.5.27 | Learning from information security incidents | Editorial | CC7.5 | Mismo tema: Lecciones aprendidas (selección editorial) |
| A.5.28 | Collection of evidence | Editorial | CC7.4 | Mismo tema: Análisis forense (selección editorial) |
| A.5.29 | Information security during disruption | Editorial | A1.1A1.2A1.3+2 | Mismo tema: Continuidad del negocio, Planificación de la recuperación (selección editorial) |
| A.5.30 | ICT readiness for business continuity | Editorial | A1.1A1.2A1.3+2 | Mismo tema: Continuidad del negocio, Recuperación ante desastres, Planificación de la recuperación (selección editorial) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Editorial | CC4.1CC4.2 | Mismo tema: Cumplimiento (selección editorial) |
| A.5.33 | Protection of records | Editorial | P4.2 | Selección editorial de ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own. |
| A.5.34 | Privacy and protection of PII | Editorial | P4.2P4.3P6.6 | Selección editorial de ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own.; Selección editorial de ControlMapping: Securely disposing of personal information: information deletion (A.8.10) and PII protection (A.5.34).; Selección editorial de ControlMapping: Breach notification to affected parties and regulators: ISO's incident planning and response (A.5.24, A.5.26) plus legal PII obligations (A.5.34). ISO itself sets no notification deadline. |
| A.5.35 | Independent review of information security | Editorial | CC4.1 | Selección editorial de ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| A.5.36 | Compliance with policies, rules and standards for information security | Editorial | CC4.1CC4.2 | Mismo tema: Cumplimiento (selección editorial) |
| A.5.37 | Documented operating procedures | Editorial | CC1.1CC5.3 | Mismo tema: Política de gobernanza (selección editorial) |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Editorial | CC1.4 | Selección editorial de ControlMapping: Commitment to competence: ISO covers it as competence (7.2), screening (A.6.1) and awareness and training (A.6.3). |
| A.6.3 | Information security awareness, education and training | Editorial | CC1.4CC2.2 | Mismo tema: Concienciación y formación (selección editorial) |
| A.6.4 | Disciplinary process | Editorial | CC1.1CC1.5 | Selección editorial de ControlMapping: Tone at the top: ISO 27001 requires leadership commitment (5.1) and a disciplinary process that enforces policy (A.6.4); SOC 2 frames the same as commitment to integrity and ethical values.; Selección editorial de ControlMapping: Holding people accountable for their security responsibilities: assigned responsibilities (5.3) and a disciplinary process (A.6.4). |
| A.6.7 | Remote working | Editorial | CC6.7 | Mismo tema: Seguridad móvil (selección editorial) |
| A.6.8 | Information security event reporting | Editorial | CC2.3 | Mismo tema: Notificación (selección editorial) |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| A.7.2 | Physical entry | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| A.7.3 | Securing offices, rooms and facilities | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| A.7.4 | Physical security monitoring | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| A.7.5 | Protecting against physical and environmental threats | Editorial | CC6.4A1.2 | Mismo tema: Seguridad física (selección editorial) |
| A.7.6 | Working in secure areas | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| A.7.8 | Equipment siting and protection | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| A.7.11 | Supporting utilities | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| A.7.12 | Cabling security | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| A.7.14 | Secure disposal or re-use of equipment | Editorial | CC6.1C1.2 | Mismo tema: Gestión de activos (selección editorial) |
| A.8 Technological controls · 27 | ||||
| A.8.1 | User endpoint devices | Editorial | CC6.7CC6.8 | Mismo tema: Seguridad móvil, Protección de endpoints (selección editorial) |
| A.8.2 | Privileged access rights | Editorial | CC6.3 | Mismo tema: Acceso privilegiado (selección editorial) |
| A.8.3 | Information access restriction | Editorial | CC6.1CC6.2CC6.3 | Mismo tema: Control de acceso (selección editorial) |
| A.8.5 | Secure authentication | Editorial | CC6.1CC6.6 | Mismo tema: Autenticación multifactor, Confianza cero (selección editorial) |
| A.8.6 | Capacity management | Editorial | A1.1 | Selección editorial de ControlMapping: Capacity: ISO's capacity management (A.8.6). |
| A.8.7 | Protection against malware | Editorial | CC6.8 | Mismo tema: Protección de endpoints (selección editorial) |
| A.8.8 | Management of technical vulnerabilities | Editorial | CC7.1 | Mismo tema: Gestión de vulnerabilidades, Gestión de parches (selección editorial) |
| A.8.9 | Configuration management | Editorial | CC5.2CC7.1CC8.1 | Mismo tema: Configuración segura (selección editorial) |
| A.8.10 | Information deletion | Editorial | C1.2CC6.5P4.3 | Mismo tema: Protección de datos (selección editorial) |
| A.8.11 | Data masking | Editorial | C1.2CC6.5 | Mismo tema: Protección de datos (selección editorial) |
| A.8.12 | Data leakage prevention | Editorial | CC6.7 | Mismo tema: DLP (selección editorial) |
| A.8.13 | Information backup | Editorial | A1.2 | Mismo tema: Copias de seguridad y recuperación (selección editorial) |
| A.8.14 | Redundancy of information processing facilities | Editorial | A1.1A1.2A1.3+1 | Mismo tema: Continuidad del negocio, Recuperación ante desastres (selección editorial) |
| A.8.15 | Logging | Editorial | CC7.2 | Mismo tema: Registro y auditoría (selección editorial) |
| A.8.16 | Monitoring activities | Editorial | CC7.2CC7.3 | Mismo tema: Monitoreo cont., Detección de intrusiones, Detección de anomalías, SIEM / SOC (selección editorial) |
| A.8.17 | Clock synchronization | Editorial | CC7.2 | Mismo tema: Registro y auditoría (selección editorial) |
| A.8.18 | Use of privileged utility programs | Editorial | CC6.3 | Mismo tema: Acceso privilegiado (selección editorial) |
| A.8.19 | Installation of software on operational systems | Editorial | CC6.8 | Mismo tema: Protección de endpoints (selección editorial) |
| A.8.20 | Networks security | Editorial | CC6.6 | Mismo tema: Cortafuegos / Segmentación de red, WAF (selección editorial) |
| A.8.21 | Security of network services | Editorial | CC6.6 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| A.8.22 | Segregation of networks | Editorial | CC6.6 | Mismo tema: Cortafuegos / Segmentación de red, Confianza cero (selección editorial) |
| A.8.24 | Use of cryptography | Editorial | CC6.1CC6.7 | Mismo tema: Cifrado (selección editorial) |
| A.8.25 | Secure development life cycle | Editorial | CC8.1 | Mismo tema: Desarrollo seguro (selección editorial) |
| A.8.26 | Application security requirements | Editorial | CC6.6CC8.1 | Mismo tema: Seguridad web, Desarrollo seguro (selección editorial) |
| A.8.28 | Secure coding | Editorial | CC8.1 | Mismo tema: Desarrollo seguro (selección editorial) |
| A.8.29 | Security testing in development and acceptance | Editorial | CC8.1 | Mismo tema: Desarrollo seguro (selección editorial) |
| A.8.32 | Change management | Editorial | CC8.1 | Selección editorial de ControlMapping: Authorising, testing and approving changes: change management (A.8.32) and configuration management (A.8.9). |
| ISMS clauses 4–10 · 24 | ||||
| Clause 4.1 | Understanding the organization and its context | Editorial | CC3.1 | Mismo tema: Entorno empresarial (selección editorial) |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Editorial | CC3.1 | Mismo tema: Entorno empresarial (selección editorial) |
| Clause 4.3 | Determining the scope of the ISMS | Editorial | CC3.1 | Selección editorial de ControlMapping: Objectives specified clearly enough to identify risk: ISO's security objectives (6.2) within a defined ISMS scope (4.3). |
| Clause 5.1 | Leadership and commitment | Editorial | CC1.1CC1.2 | Selección editorial de ControlMapping: Tone at the top: ISO 27001 requires leadership commitment (5.1) and a disciplinary process that enforces policy (A.6.4); SOC 2 frames the same as commitment to integrity and ethical values.; Selección editorial de ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence. |
| Clause 5.2 | Policy | Editorial | CC1.1CC5.3 | Mismo tema: Política de gobernanza (selección editorial) |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Editorial | CC1.3CC1.5 | Selección editorial de ControlMapping: Both require defined structures, reporting lines, roles and authorities for security.; Selección editorial de ControlMapping: Holding people accountable for their security responsibilities: assigned responsibilities (5.3) and a disciplinary process (A.6.4). |
| Clause 6.1.1 | General | Editorial | CC3.1CC5.1CC9.1 | Mismo tema: Gestión de riesgos (selección editorial) |
| Clause 6.1.2 | Information security risk assessment | Editorial | CC3.2CC3.3CC3.4 | Mismo tema: Evaluación de riesgos (selección editorial) |
| Clause 6.1.3 | Information security risk treatment | Editorial | CC3.1CC3.2CC3.3+4 | Mismo tema: Gestión de riesgos, Evaluación de riesgos (selección editorial) |
| Clause 6.2 | Information security objectives and planning to achieve them | Editorial | CC3.1 | Selección editorial de ControlMapping: Objectives specified clearly enough to identify risk: ISO's security objectives (6.2) within a defined ISMS scope (4.3). |
| Clause 6.3 | Planning of changes | Editorial | CC3.4 | Selección editorial de ControlMapping: Assessing changes that affect internal control: ISO's planning of changes (6.3) and re-assessing risk on significant change (8.2). |
| Clause 7.2 | Competence | Editorial | CC1.4 | Selección editorial de ControlMapping: Commitment to competence: ISO covers it as competence (7.2), screening (A.6.1) and awareness and training (A.6.3). |
| Clause 7.3 | Awareness | Editorial | CC1.4CC2.2 | Mismo tema: Concienciación y formación (selección editorial) |
| Clause 7.4 | Communication | Editorial | CC2.3CC7.5CC2.2 | Mismo tema: Comunicación, Comunicaciones y restauración (selección editorial) |
| Clause 8.2 | Information security risk assessment | Editorial | CC3.2CC3.4 | Selección editorial de ControlMapping: Risk identification and analysis: ISO's risk assessment process (6.1.2) and performing it (8.2).; Selección editorial de ControlMapping: Assessing changes that affect internal control: ISO's planning of changes (6.3) and re-assessing risk on significant change (8.2). |
| Clause 8.3 | Information security risk treatment | Editorial | CC5.1 | Selección editorial de ControlMapping: Selecting control activities that reduce risk: ISO's risk treatment, planned (6.1.3) and carried out (8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Editorial | CC4.1CC4.2CC2.1 | Mismo tema: Cumplimiento (selección editorial) |
| Clause 9.2.1 | General | Editorial | CC4.1 | Selección editorial de ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| Clause 9.2.2 | Internal audit programme | Editorial | CC4.1 | Selección editorial de ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| Clause 9.3.1 | General | Editorial | CC1.2CC4.2 | Selección editorial de ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; Selección editorial de ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 9.3.2 | Management review inputs | Editorial | CC1.2CC4.2 | Selección editorial de ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; Selección editorial de ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 9.3.3 | Management review results | Editorial | CC1.2CC4.2 | Selección editorial de ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; Selección editorial de ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 10.1 | Continual improvement | Editorial | CC7.5 | Mismo tema: Lecciones aprendidas (selección editorial) |
| Clause 10.2 | Nonconformity and corrective action | Editorial | CC4.2 | Selección editorial de ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
Por tema
Ambos cubren (46):
Solo ISO 27001 (4):
Preguntas
¿Es mejor ISO 27001 o SOC 2?
Ninguno: responden a la misma pregunta para públicos distintos. ISO 27001 es un certificado reconocido internacionalmente para un sistema de gestión; SOC 2 es un informe de atestación sobre controles, de estilo estadounidense. Elija según lo que pidan sus clientes.
¿La certificación ISO 27001 cubre SOC 2?
No formalmente: un informe SOC 2 requiere la evaluación de una firma de CPA. Pero la mayoría de los criterios de seguridad de SOC 2 tienen un equivalente en ISO, así que una empresa certificada en ISO necesita sobre todo completar las categorías opcionales y recopilar evidencias en el formato de SOC 2.
¿Puede un solo auditor hacer ambos?
Algunas firmas tienen tanto un organismo de certificación acreditado como una práctica de CPA y ofrecen auditorías coordinadas, pero se trata de dos encargos separados con entregables distintos.
¿Es más difícil obtener SOC 2 o ISO 27001?
Ninguno es universalmente más difícil. ISO 27001 exige más gobernanza (el sistema de gestión y su documentación); SOC 2 Tipo II exige más evidencia operativa durante un periodo continuo. Las organizaciones con procesos maduros pero poca documentación suelen encontrar más fácil SOC 2; las que tienen buena documentación pero evidencias irregulares suelen encontrar más fácil ISO.
¿Cuál está más reconocido internacionalmente?
ISO 27001. SOC 2 es muy solicitado por clientes de EE. UU. y cada vez se entiende mejor en otros lugares, pero la certificación ISO 27001 es el estándar internacional por defecto, especialmente en Europa, Asia y en las licitaciones del sector público.
¿Con qué frecuencia se renuevan?
Un certificado ISO 27001 dura tres años, con auditorías de seguimiento en el primer y segundo año. Un informe SOC 2 cubre un periodo pasado, así que los clientes esperan un nuevo informe Tipo II cada año, idealmente sin huecos entre periodos.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.