NIST CSF 2.0 vs SOC 2: marco que adoptas vs informe auditado

Por Paul Gillet · Actualizado 2026-10-17

NIST CSF 2.0 es un marco voluntario basado en resultados: tú decides tu perfil objetivo y mides tu situación frente a él. SOC 2 es un informe de atestación independiente emitido por un CPA frente a los Criterios de Servicios de Confianza del AICPA, y es lo que muchos clientes norteamericanos piden a un proveedor SaaS en sus procesos de compras.

La mayoría de los requisitos de seguridad de SOC 2 (Criterios Comunes) tienen equivalentes en CSF: acceso lógico, monitorización, respuesta a incidentes, gestión de cambios, evaluación de riesgos y gestión de proveedores. Un programa alineado con CSF te proporciona la mayoría de los controles que un auditor comprobará.

Yendo de CSF a SOC 2, casi todos los Criterios Comunes tienen un equivalente en CSF, incluidos los criterios del entorno de control (ética, supervisión del consejo, rendición de cuentas), que CSF cubre a través de su función Gobernar. Los elementos sin correspondencia son las categorías opcionales de Integridad del Procesamiento y Privacidad de SOC 2, que tienen poca correspondencia en un marco de seguridad. No existe una correspondencia pública de SOC 2 legible por máquina, por lo que el lado SOC 2 de esta comparación es la correspondencia editorial de ControlMapping.

Yendo de SOC 2 a CSF, las brechas son sobre todo los resultados más amplios de gobernanza y resiliencia de CSF: estrategia de riesgo, ciclo de vida de la gestión de riesgos de la cadena de suministro, inteligencia de amenazas y procesos de mejora, que SOC 2 no exige de forma explícita.

De un vistazo

Cómo encajan

CSF describe lo que logra un buen programa; SOC 2 demuestra a los clientes que controles específicos funcionan. Muchas empresas usan CSF para estructurar el programa e informar al consejo, y SOC 2 para dar evidencias a los clientes. Como SOC 2 no tiene una correspondencia con licencia abierta, cada vínculo con SOC 2 que aparece aquí es un juicio editorial de ControlMapping, con su justificación.

Quién pide cada uno

• SOC 2 lo piden los clientes, sobre todo empresas estadounidenses de gran tamaño que evalúan proveedores de software y servicios. Responde a la pregunta "¿podemos confiarte nuestros datos?" con la opinión de un auditor independiente.
• NIST CSF 2.0 lo piden consejos, reguladores, aseguradoras y socios que quieren saber cómo una organización gestiona el riesgo cibernético en conjunto. Nadie puede entregar un "certificado CSF"; en su lugar, muestras tus perfiles y las evidencias que los respaldan.
• Cada vez más empresas usan CSF internamente y elaboran un informe SOC 2 para sus clientes. Ambos se complementan en lugar de competir.

Usar CSF para prepararse para SOC 2

Si ya ejecutas un programa basado en CSF, tienes la mayor parte de lo que evalúan los criterios de seguridad de SOC 2. Relaciona tus resultados de CSF con los Criterios de Servicios de Confianza y comprueba tres cosas que CSF no exige: que cada control genere evidencias de forma continua (SOC 2 Tipo II toma muestras a lo largo de meses), que los criterios del entorno de control estén cubiertos (supervisión del consejo, integridad y valores éticos, competencia, rendición de cuentas), y que la descripción de tu sistema coincida con el límite que preocupa a los clientes. El informe de brechas CSF → SOC 2 enumera cada criterio con su correspondencia en CSF y la justificación de cada vínculo.

Coste y esfuerzo

CSF en sí es gratuito; el esfuerzo está en evaluar y mejorar tu perfil. SOC 2 añade los honorarios de una firma CPA y, en el caso del Tipo II, la disciplina de recopilar evidencias durante todo el periodo de observación. Para una empresa con un programa CSF maduro, el esfuerzo adicional de SOC 2 consiste sobre todo en recopilar evidencias, redactar la descripción del sistema y añadir las categorías opcionales que incluyas. Para una empresa que parte de cero, construir primero según CSF ofrece una base más amplia; construir primero según SOC 2 da antes un entregable orientado al cliente.

Calendario

Desde un programa CSF en funcionamiento hasta un primer informe SOC 2 Tipo II suele tardar entre seis y nueve meses: de uno a tres meses para correlacionar controles, cerrar brechas y contratar a un auditor, después un periodo de observación de tres a seis meses y unas pocas semanas para el informe. En sentido contrario, una empresa con un informe SOC 2 puede elaborar un Perfil Actual CSF en semanas, porque la mayoría de los resultados de Proteger, Detectar y Responder ya están evidenciados; la función Gobernar suele requerir más trabajo.

Caso práctico: una startup fintech

Una fintech de 30 personas tiene un informe SOC 2 Tipo II para su API de pagos. Su consejo y su aseguradora de ciberriesgos ahora preguntan cómo gestiona el riesgo cibernético en un sentido más amplio. La empresa construye un Perfil Actual CSF 2.0 a partir de sus controles SOC 2 y detecta una cobertura sólida de Proteger, Detectar y Responder, con brechas en Gobernar: no hay una declaración formal de apetito de riesgo, no hay un programa de riesgo de cadena de suministro más allá de los cuestionarios a proveedores, y no hay informes periódicos de supervisión. Establece un Perfil Objetivo, añade un informe trimestral al consejo en términos de CSF y mantiene sin cambios su ciclo de auditoría SOC 2. Un único conjunto de controles responde ahora a ambos públicos.

Errores habituales

• Suponer que alinearse con CSF equivale a estar preparado para SOC 2. CSF no exige evidencias continuas durante un periodo, que es lo que comprueba un informe Tipo II.
• Ignorar el entorno de control. Los criterios CC1 a CC5 de SOC 2 (supervisión del consejo, integridad, competencia, rendición de cuentas) requieren evidencias que a menudo faltan en los programas técnicos de CSF.
• Sobredimensionar el informe SOC 2 para abarcar todo el programa CSF, en lugar de limitarlo al sistema en el que confían los clientes.
• Ejecutar dos programas. Un único conjunto de controles, correlacionado en ambos sentidos, evita duplicar evidencias.
• Dejar Gobernar para el final. Los resultados de Gobernar de CSF 2.0 suelen ser la parte más débil de un programa que empieza por SOC 2 y la que más preguntas generan en los consejos.

Conclusiones clave

• CSF te dice qué es lo bueno; SOC 2 demuestra a un cliente que lo tienes en funcionamiento.
• Recopila evidencias de forma continua: un informe Tipo II necesita pruebas durante todo el periodo de auditoría.
• Trata Integridad del Procesamiento y Privacidad como proyectos separados si están dentro del alcance.

Descargar esta comparación (CSV) Abrir en análisis de brechas →