ISO 27001 vs SOC 2: cosa resta valido e cosa no

Per Paul Gillet · Aggiornato il 2026-10-17

ISO/IEC 27001 e SOC 2 rispondono alla stessa domanda del cliente, "possiamo fidarci di voi con i nostri dati?", ma in modi diversi. ISO 27001 certifica un sistema di gestione: un organismo di certificazione accreditato verifica che gestiate un sistema di gestione della sicurezza delle informazioni (ISMS) conforme ai punti da 4 a 10 e che abbiate deciso, in una Dichiarazione di Applicabilità, quali dei 93 controlli dell'Annex A si applicano. SOC 2 è un'attestazione: uno studio CPA riferisce se i vostri controlli soddisfano i Trust Services Criteria dell'AICPA. Un report di Tipo II copre il modo in cui i controlli hanno operato per un periodo, tipicamente da 3 a 12 mesi.

La sovrapposizione tecnica è ampia. Controllo degli accessi, logging e monitoraggio, gestione dei cambiamenti, gestione delle vulnerabilità, risposta agli incidenti, gestione dei fornitori e backup compaiono in entrambi, e gran parte del lavoro di sicurezza svolto per uno vale anche per l'altro. Le differenze riguardano struttura e accento più che i controlli in sé.

Passando da SOC 2 a ISO 27001, il lavoro aggiuntivo reale riguarda il sistema di gestione. ISO richiede un perimetro ISMS definito, obiettivi di sicurezza delle informazioni, informazioni documentate sotto controllo, un processo di valutazione e trattamento del rischio con una Dichiarazione di Applicabilità, audit interni e riesami della direzione. Sono i punti ISO che risultano non corrispondenti qui sotto, insieme ad alcuni controlli dell'Annex A (in particolare la sicurezza fisica) che i revisori SOC 2 spesso trattano in modo marginale per le aziende interamente in cloud.

Passando da ISO 27001 a SOC 2, quasi ogni criterio di sicurezza, inclusi quelli dell'ambiente di controllo (supervisione del consiglio di amministrazione, integrità e valori etici, responsabilità), ha una controparte in ISO. Il lavoro nuovo riguarda le categorie opzionali che includete. Processing Integrity e la maggior parte dei criteri di Privacy non hanno un equivalente nell'ISMS e qui risultano come nessuna mappatura; le eccezioni sono conservazione, eliminazione e notifica delle violazioni, che i controlli ISO su registrazioni, cancellazione e incidenti in parte coprono. Availability e Confidentiality sono in genere vicine a quanto ISO già richiede.

In sintesi

Quale dei due vi serve?

Partite da chi chiede. Se i clienti enterprise statunitensi inviano questionari di sicurezza che chiedono "il vostro SOC 2", un report SOC 2 di Tipo II è ciò che chiude la trattativa; un certificato ISO spesso è accettato, ma non sempre. Se i clienti sono in Europa, Asia o nel settore pubblico, o le gare richiedono ISO/IEC 27001, il certificato è la risposta attesa. Molte aziende software che vendono a livello internazionale finiscono per averli entrambi.

Se per ora nessuno lo chiede, ISO 27001 costruisce un programma più duraturo, perché il sistema di gestione impone valutazione del rischio, obiettivi, audit interno e riesame della direzione. SOC 2 porta più rapidamente a un primo risultato consegnabile se una trattativa specifica ne dipende.

Fare entrambi senza fare tutto due volte

1. Costruite un unico set di controlli. Mappate ogni controllo sul relativo controllo dell'Annex A e sul relativo Trust Services criterion; il confronto qui sotto mostra dove coincidono.
2. Scrivete l'ISMS una sola volta. Perimetro, valutazione del rischio, Dichiarazione di Applicabilità, audit interno e riesame della direzione sono requisiti ISO, ma forniscono anche ai revisori SOC 2 le evidenze di governance che chiedono i CC1–CC5.
3. Raccogliete le evidenze in modo continuo. SOC 2 di Tipo II campiona le evidenze lungo tutto il periodo, quindi le evidenze raccolte per esso servono anche per gli audit di sorveglianza ISO.
4. Allineate il calendario degli audit. Alcuni studi offrono audit combinati o consecutivi; allineare il periodo SOC 2 al ciclo di sorveglianza ISO riduce le interruzioni.
5. Controllate i gap in entrambe le direzioni. SOC 2 aggiunge Privacy e Processing Integrity se nel perimetro; ISO aggiunge i punti del sistema di gestione e la sicurezza fisica che i perimetri SOC 2 interamente in cloud trattano in modo marginale.

Costi e impegno

Nessuno dei due ha un prezzo fisso. Il compenso esterno (organismo di certificazione o studio CPA) dipende da perimetro, numero di persone e sedi, ed è in genere inferiore allo sforzo interno e agli strumenti. Per una piccola azienda alla prima volta, prevedete mesi di lavoro part-time da parte di chi gestisce il programma, oltre al costo dell'audit. Fare entrambi costa meno del doppio di uno qualsiasi dei due, perché la maggior parte dei controlli e delle evidenze è condivisa.

Una tempistica realistica per farli entrambi

Un percorso comune per un'azienda software che parte da SOC 2:

1. Mesi 1–3: preparazione. Definite il perimetro del sistema, scrivete le policy, chiudete i gap che emergono dalla gap analysis, scegliete uno studio CPA.
2. Mese 3: Tipo I (facoltativo), appena i controlli sono progettati e attivi.
3. Mesi 3–9: primo periodo di osservazione di Tipo II, tipicamente da tre a sei mesi, con il report qualche settimana dopo la sua conclusione.
4. Mesi 6–12: aggiungete l'ISMS. Definite il perimetro ISO, eseguite la valutazione del rischio, scrivete la Dichiarazione di Applicabilità e svolgete un audit interno e un riesame della direzione. La maggior parte dei controlli dell'Annex A è già in funzione per SOC 2.
5. Mesi 10–14: audit ISO Stage 1 e Stage 2.

Partire da ISO 27001 inverte l'ordine: da sei a dodici mesi per la certificazione, poi una verifica di prontezza per SOC 2 e un periodo di osservazione da tre a sei mesi. In ogni caso, il secondo framework richiede una frazione del tempo del primo.

Caso pratico: un'azienda SaaS di 50 persone

Consideriamo un'azienda di software B2B di 50 persone con un report SOC 2 di Tipo II che copre Security, Availability e Confidentiality. Un grande cliente europeo ora richiede la certificazione ISO 27001.

Cosa resta valido: controllo degli accessi, gestione dei cambiamenti, logging e monitoraggio, gestione delle vulnerabilità, risposta agli incidenti, gestione dei fornitori, backup e continuità operativa. L'azienda già applica questi controlli e raccoglie le evidenze per essi, quindi confluiscono nella Dichiarazione di Applicabilità in larga parte così come sono.

Cosa è nuovo: l'ISMS in sé. L'azienda ha bisogno di un perimetro documentato (probabilmente il prodotto, la sua infrastruttura e i team che la gestiscono), di obiettivi di sicurezza delle informazioni con misurazioni, di un metodo formale di valutazione del rischio e di un registro dei rischi, di una Dichiarazione di Applicabilità con esclusioni giustificate, di un audit interno affidato a qualcuno indipendente dal lavoro svolto e di un riesame della direzione con verbali. Alcuni controlli dell'Annex A richiedono inoltre attenzione, tipicamente la sicurezza fisica della sede e la threat intelligence.

Quanto costa: soprattutto il tempo di chi gestisce l'ISMS, oltre ai compensi dell'organismo di certificazione e a un auditor interno esterno, se nessuno indipendente è disponibile. Poiché i controlli e le evidenze esistono già, il secondo framework costa molto meno di quanto sia costato il primo.

Punti chiave

• Gestite un unico set di controlli e documentatene le evidenze due volte. Mappate ogni controllo sia su un controllo dell'Annex A sia su un Trust Services criterion.
• SOC 2 → ISO: pianificate il budget per l'ISMS in sé (perimetro, obiettivi, trattamento del rischio, SoA, audit interno, riesame della direzione), non per nuovi controlli tecnici.
• ISO → SOC 2: decidete presto a quali categorie opzionali siete soggetti. Privacy e Processing Integrity sono dove compare il lavoro nuovo.

Scarica questo confronto (CSV) Apri in analisi dei gap →