Um conjunto de controles para SOC 2 e ISO 27001: execute ambos sem fazer tudo duas vezes

Empresas que vendem software internacionalmente acabam frequentemente com ambos: um relatório SOC 2 para clientes nos EUA e um certificado ISO 27001 para todos os demais. Se você tratá-los como dois projetos, escreverá dois conjuntos de políticas, coletará as mesmas evidências duas vezes e passará por auditorias sobrepostas. Se executá-los a partir de um único conjunto de controles, o segundo framework custará uma fração do primeiro.

Eis como configurar isso.

Quanto se sobrepõe

Direção	Mapeado	Vagamente relacionado	Sem mapeamento
Tem ISO 27001 → precisa de SOC 2	41 de 61 (67%)	0	20	relatório →
Tem SOC 2 → precisa de ISO 27001	98 de 123 (80%)	21	4	relatório →

Ao ir do SOC 2 para a ISO 27001, quase todo controle do Anexo A e cada cláusula do SGSI se correlaciona com um critério do SOC 2. Os poucos sem mapeamento são os mecanismos de sistema de gestão da ISO: definir o próprio SGSI e controlar a informação documentada. No sentido inverso, os critérios do SOC 2 sem equivalente na ISO são as categorias opcionais de Privacidade e Integridade do Processamento; os critérios de Segurança são todos mapeados.

Portanto, a sobreposição está nos controles de segurança. As diferenças estão na estrutura: a ISO exige um sistema de gestão em torno dos controles, e o SOC 2 exige evidências de que eles operaram ao longo de um período.

Etapa 1: escolha uma espinha dorsal

Um conjunto comum de controles precisa de uma estrutura primária à qual tudo se mapeie. Use o Anexo A da ISO 27001 como espinha dorsal se você tem ou pretende obter o certificado, porque a Declaração de Aplicabilidade já lista cada controle com uma justificativa. Use os critérios do SOC 2 se o relatório for seu principal entregável. Ambos funcionam; o essencial é que cada controle tenha um único lugar de referência.

Etapa 2: escreva cada controle uma vez

Para cada controle, mantenha um registro com:

• Uma declaração simples do que você faz ("O acesso à produção é concedido por meio de um chamado aprovado pelo responsável pelo sistema e revisado trimestralmente").
• Um responsável e uma frequência.
• As referências de framework que ele atende, por exemplo ISO A.5.15 e A.5.18, SOC 2 CC6.1–CC6.3.
• As evidências que ele produz e onde elas ficam.

As referências vêm de um mapeamento como o nosso. Para controle de acesso, ele tem esta aparência:

Framework	Controle de acesso	Vínculo
NIST CSF 2.0	PR.AA-01PR.AA-05	Definição do tópico
ISO 27001	A.5.15A.5.16A.5.18A.8.3	Correspondência
CIS v8.1	CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5	Correspondência
SOC 2	CC6.1CC6.2CC6.3	Editorial
PCI DSS	7.2.17.2.27.2.48.2.1	Correspondência
CMMC	AC.L2-3.1.1AC.L2-3.1.2	Correspondência
800-53	AC-2AC-3	Correspondência
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	Correspondência
GDPR	Art.25(2)Art.32(1)(b)	Editorial
NIS2	11.111.211.5	Correspondência
Essential Eight	—	Sem mapeamento em nossos dados

Detalhe completo e o motivo de cada ligação: Controle de acesso em todos os frameworks →

Etapa 3: colete as evidências uma vez, marque-as duas vezes

Os auditores do SOC 2 Tipo II amostram evidências de todo o período de observação: chamados, revisões, varreduras, registros de treinamento. Os auditores de vigilância da ISO solicitam os mesmos tipos de registros. Colete cada item uma única vez, em um só lugar, e marque-o com todas as referências de framework que seu controle possui.

Etapa 4: alinhe os calendários

• Inicie o período de observação do SOC 2 quando seus controles já estiverem em execução há algumas semanas, e não no dia em que forem lançados.
• Agende as auditorias internas e as análises pela direção da ISO para que produzam registros dentro do período do SOC 2: são também boas evidências de governança para os critérios comuns do SOC 2.
• Pergunte se seus auditores podem coordenar o trabalho de campo. Mesmo quando não podem, realizar as duas auditorias próximas no tempo significa uma única rodada de solicitações de evidências.

Etapa 5: preencha as lacunas que cada lado deixa

Execute o relatório de lacunas SOC 2 → ISO 27001 e o inverso. Espere dois tipos de trabalho novo:

• Para a ISO: o sistema de gestão. Escopo, objetivos, avaliação e tratamento de riscos, a Declaração de Aplicabilidade, auditoria interna, análise crítica pela direção e ação corretiva.
• Para o SOC 2: quaisquer categorias opcionais que você incluir, e o hábito de manter evidências continuamente durante um período completo.

Nossa comparação ISO 27001 vs SOC 2 lista cada requisito nos dois sentidos, e os guias SOC 2 e ISO 27001 tratam das próprias auditorias.

Nota sobre os mapeamentos

Não existe nenhuma correspondência SOC 2 de licença aberta; por isso, cada vínculo com o SOC 2 neste site é um juízo editorial da ControlMapping, com o motivo exibido. Use o mapeamento para desenhar o conjunto de controles e, depois, confirme os detalhes com seus auditores antes de se apoiar nele.

Perguntas

Um mesmo auditor pode realizar SOC 2 e ISO 27001 juntos?

Algumas empresas têm tanto uma prática de CPA quanto um organismo de certificação acreditado e coordenam as auditorias, mas continuam sendo dois trabalhos com dois entregáveis: um relatório SOC 2 e um certificado ISO 27001.

Qual deve vir primeiro, SOC 2 ou ISO 27001?

O que seus clientes pedirem primeiro. Se você construir o conjunto comum de controles descrito aqui, o segundo acrescenta principalmente as cláusulas do sistema de gestão (para a ISO) ou o período de evidências e os critérios opcionais (para o SOC 2).