Critérios do SOC 2 sem equivalente na ISO 27001

Um certificado ISO 27001 leva você boa parte do caminho até um relatório SOC 2, mas não todo ele. Os critérios que não se transferem vêm todos de duas categorias opcionais.

Se a sua organização já possui a ISO 27001 e um cliente pede um relatório SOC 2, a maior parte do trabalho já está feita. Os controles de segurança se sobrepõem bastante, e o SGSI fornece aos auditores do SOC 2 as evidências de governança que eles procuram. Mas um grupo de critérios do SOC 2 não tem nenhum equivalente na ISO 27001, e vale conhecê-los antes de acordar o escopo com o seu auditor.

O número principal

Dos 61 critérios de SOC 2, 41 (67%) mapeiam para algo em ISO 27001, 0 são apenas vagamente relacionados e 20 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Nenhum critério do SOC 2 é apenas "vagamente relacionado" à ISO: cada um ou tem correspondência ou não tem. Essa divisão nítida é uma pista do que está acontecendo.

Os critérios sem mapeamento na ISO

SOC 2	Requisito	Correspondência	ISO 27001
P1.1	Privacy notice	Sem mapeamento em nossos dados	—
P2.1	Choice and consent	Sem mapeamento em nossos dados	—
P3.1	Collection limited to privacy objectives	Sem mapeamento em nossos dados	—
P3.2	Explicit consent where required	Sem mapeamento em nossos dados	—
P4.1	Use limited to privacy objectives	Sem mapeamento em nossos dados	—
P5.1	Data subject access	Sem mapeamento em nossos dados	—
P5.2	Correction of personal information	Sem mapeamento em nossos dados	—
P6.1	Disclosure to third parties with consent	Sem mapeamento em nossos dados	—
P6.2	Record of authorized disclosures	Sem mapeamento em nossos dados	—
P6.3	Record of unauthorized disclosures	Sem mapeamento em nossos dados	—
P6.4	Privacy commitments from third parties	Sem mapeamento em nossos dados	—
P6.5	Notification by third parties of unauthorized disclosures	Sem mapeamento em nossos dados	—
P6.7	Accounting of disclosures to data subjects	Sem mapeamento em nossos dados	—
P7.1	Quality of personal information	Sem mapeamento em nossos dados	—
P8.1	Handling privacy inquiries, complaints and disputes	Sem mapeamento em nossos dados	—
PI1.1	Information about processing objectives	Sem mapeamento em nossos dados	—
PI1.2	Controls over system inputs	Sem mapeamento em nossos dados	—
PI1.3	Controls over system processing	Sem mapeamento em nossos dados	—
PI1.4	Controls over system outputs	Sem mapeamento em nossos dados	—
PI1.5	Storing inputs, items in processing and outputs	Sem mapeamento em nossos dados	—

Todo critério da lista vem de duas das cinco categorias do SOC 2: Processing Integrity (PI1) e Privacidade (P1 a P8). Ambas são opcionais. A categoria Segurança, os critérios comuns CC1 a CC9 que todo relatório SOC 2 inclui, tem mapeamento completo, assim como Disponibilidade e Confidencialidade.

Fotografia de uma calculadora, faturas recortadas e uma bobina de papel de máquina de somar sobre a mesa de um contador — A integridade do processamento trata de saber se os números estão corretos, algo que a ISO 27001 não verifica.

Por que a Processing Integrity não tem equivalente na ISO

A Processing Integrity pergunta se um sistema processa dados de forma completa, precisa, no prazo e conforme autorizado: se as entradas são verificadas, se os erros de processamento são detectados, se as saídas chegam ao destino certo e se os dados armazenados permanecem consistentes. Trata da correção do próprio serviço, e não da segurança que o cerca.

A ISO 27001 é uma norma de segurança da informação. Ela protege a confidencialidade, a integridade e a disponibilidade da informação, mas "integridade" aí significa proteção contra alterações não autorizadas, e não se a folha de pagamento calculou corretamente cada salário. Nenhum controle do Anexo A pede que você valide o processamento de negócio. Portanto, se um cliente depende do seu sistema para obter os números corretos (pagamentos, faturamento, folha de pagamento, sinistros, pipelines de dados), a Processing Integrity é trabalho novo mesmo com um SGSI maduro: validação de entradas, conciliação, tratamento de erros e controles de saída, com evidências.

Por que a maioria dos critérios de Privacidade não tem equivalente na ISO

Os critérios de Privacidade do SOC 2 acompanham o ciclo de vida das informações pessoais: aviso (P1), escolha e consentimento (P2), coleta (P3), uso, retenção e descarte (P4), acesso e correção (P5), divulgação (P6), qualidade (P7) e monitoramento e reclamações (P8). São requisitos de um programa de privacidade, mais próximos do RGPD (GDPR) do que da segurança.

A ISO 27001 toca em alguns deles. O A.5.34 exige que você identifique e cumpra as obrigações de proteção de dados pessoais, o A.5.33 trata da proteção de registros e o A.8.10 trata da exclusão de informações. Por isso, retenção (P4.2), descarte (P4.3) e notificação de violação (P6.6) aparecem mapeados em nossos dados, por meio de vínculos editoriais com justificativas declaradas. O restante, como avisos de privacidade, consentimento, solicitações de acesso de titulares e registros de divulgações, não tem controle correspondente no Anexo A.

Se você precisar desses critérios, a ISO/IEC 27701 estende um SGSI a um sistema de gestão de informações de privacidade e é a norma parceira natural. Do lado do RGPD, veja como a ISO 27001 se compara aos artigos de segurança do RGPD.

O que fazer a respeito

Defina o escopo primeiro. Inclua a Processing Integrity ou a Privacidade somente se os clientes precisarem deles. Muitos relatórios SOC 2 cobrem apenas Segurança, ou Segurança mais Disponibilidade e Confidencialidade.
Se você incluí-los, trate-os como controles novos, e não como um exercício de mapeamento com a ISO: escreva-os, opere-os e mantenha evidências durante todo o período de observação.
Reaproveite o SGSI para todo o restante. O relatório de lacunas ISO 27001 → SOC 2 lista cada critério com a sua correspondência na ISO, e nosso post sobre como operar um único conjunto de controles para ambos explica a mecânica.

O caminho inverso é diferente: indo do SOC 2 para a ISO 27001, o trabalho novo é o próprio sistema de gestão. A comparação ISO 27001 vs SOC 2 cobre os dois sentidos.

Uma nota sobre os dados

Não existe correspondência do SOC 2 com licença aberta, então cada vínculo com o SOC 2 aqui é um julgamento editorial da ControlMapping, com a justificativa exibida em cada página de requisito. Os números acima são calculados em tempo real a partir dos dados atuais.

Perguntas

A ISO 27001 cobre os critérios de Privacidade do SOC 2?

Em geral, não. A ISO 27001 protege os dados pessoais como informação (A.5.34), mas não exige avisos de privacidade, consentimento, acesso do titular ou registros de divulgação. A ISO/IEC 27701 estende um SGSI à gestão de privacidade e é a correspondência mais próxima.

Preciso incluir a Processing Integrity em um relatório SOC 2?

Não. Apenas a categoria Segurança (os critérios comuns) é obrigatória. Inclua a Processing Integrity quando os clientes dependerem do seu sistema para processar os dados deles de forma completa e precisa, por exemplo em pagamentos ou folha de pagamento.

Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.

Critérios do SOC 2 sem equivalente na ISO 27001 e por que existem