ISO 27001 vs SOC 2: o que se mantém e o que não se mantém
ISO/IEC 27001:2022 · SOC 2 (Trust Services Criteria) · dados de 2026-10-27
Por Paul Gillet · Atualizado em 2026-10-17
ISO/IEC 27001 e SOC 2 respondem à mesma pergunta do cliente, "podemos confiar a vocês os nossos dados?", de maneiras diferentes. A ISO 27001 certifica um sistema de gestão: um organismo de certificação acreditado confirma que você mantém um sistema de gestão de segurança da informação (SGSI) que atende às cláusulas 4 a 10 e que decidiu, em uma Declaração de Aplicabilidade, quais dos 93 controles do Anexo A se aplicam. O SOC 2 é uma asseguração: uma firma de CPA emite um relatório sobre se os seus controles atendem aos Trust Services Criteria da AICPA. Um relatório Tipo II abrange como esses controles operaram durante um período, normalmente de 3 a 12 meses.
A sobreposição técnica é grande. Controle de acesso, registro e monitoramento, gestão de mudanças, gestão de vulnerabilidades, resposta a incidentes, gestão de fornecedores e backup aparecem nos dois, e a maior parte do trabalho de segurança feito para um conta para o outro. As diferenças estão na estrutura e na ênfase, e não nos próprios controles.
Passando do SOC 2 para a ISO 27001, o trabalho extra real é o sistema de gestão. A ISO exige um escopo definido do SGSI, objetivos de segurança da informação, informação documentada sob controle, um processo de avaliação e tratamento de riscos com uma Declaração de Aplicabilidade, auditorias internas e análises críticas pela direção. São as cláusulas da ISO que aparecem como sem correspondência abaixo, além de alguns controles do Anexo A (principalmente segurança física) que auditores de SOC 2 costumam tratar de forma superficial em empresas somente na nuvem.
Passando da ISO 27001 para o SOC 2, quase todos os critérios de segurança, incluindo os do ambiente de controle (supervisão do conselho, integridade e valores éticos, responsabilização), têm uma contrapartida na ISO. O trabalho novo está nas categorias opcionais que você incluir. Integridade de Processamento e a maioria dos critérios de Privacidade não têm equivalente no SGSI e aparecem aqui como sem mapeamento; as exceções são retenção, descarte e notificação de violação, que os controles da ISO de registros, exclusão e incidentes tratam em parte. Disponibilidade e Confidencialidade costumam estar próximas do que a ISO já exige.
Em resumo
| ISO 27001 | SOC 2 | |
|---|---|---|
| O que você obtém | Um certificado para o seu SGSI, válido por três anos | Um relatório: a opinião de uma firma de CPA sobre os seus controles |
| Quem emite | Um organismo de certificação acreditado | Uma firma de CPA licenciada |
| O que é testado | O sistema de gestão (cláusulas 4–10) e os controles do Anexo A escolhidos na sua Declaração de Aplicabilidade | Controles frente aos Trust Services Criteria: Segurança, além de qualquer um entre Disponibilidade, Confidencialidade, Integridade de Processamento e Privacidade |
| Período abrangido | Auditorias pontuais: Estágios 1 e 2, depois acompanhamento anual | Tipo I: uma data. Tipo II: normalmente de 3 a 12 meses de operação |
| Quem solicita | Clientes em todo o mundo, especialmente na Europa, na Ásia e no setor público | Principalmente as equipes de risco de fornecedores de clientes dos EUA |
| Compartilhado publicamente? | O certificado, sim; o relatório de auditoria, não | Não: compartilhado sob NDA |
| Esforço típico na primeira vez | De seis a doze meses, principalmente para construir o SGSI | De três a nove meses até o primeiro Tipo II, principalmente com evidências |
Qual você precisa?
Comece por quem está perguntando. Se clientes corporativos dos EUA enviam questionários de segurança que pedem "seu SOC 2", um relatório SOC 2 Tipo II é o que fecha o negócio; um certificado ISO costuma ser aceito, mas nem sempre. Se os clientes estão na Europa, na Ásia ou no setor público, ou se as licitações listam a ISO/IEC 27001, o certificado é a resposta esperada. Muitas empresas de software que vendem internacionalmente acabam com os dois.
Se ninguém estiver pedindo ainda, a ISO 27001 constrói um programa mais durável, pois o sistema de gestão obriga a avaliação de riscos, objetivos, auditoria interna e análise crítica pela direção. O SOC 2 chega mais rápido a uma primeira entrega se um negócio específico depender dele.
Fazer ambos sem fazer tudo duas vezes
- Construa um único conjunto de controles. Mapeie cada controle para o seu controle do Anexo A e para o seu critério de Trust Services; a comparação abaixo mostra onde eles se alinham.
- Escreva o SGSI uma única vez. Escopo, avaliação de riscos, Declaração de Aplicabilidade, auditoria interna e análise crítica pela direção são requisitos da ISO, mas também fornecem aos auditores de SOC 2 as evidências de governança que os CC1–CC5 exigem.
- Colete evidências continuamente. O SOC 2 Tipo II amostra evidências ao longo do período, então as evidências coletadas para ele também servem às auditorias de acompanhamento da ISO.
- Alinhe o calendário de auditorias. Algumas firmas oferecem auditorias combinadas ou em sequência; alinhar o período do SOC 2 com o ciclo de acompanhamento da ISO reduz as interrupções.
- Observe as lacunas em cada direção. O SOC 2 acrescenta Privacidade e Integridade de Processamento, se estiverem no escopo; a ISO acrescenta as cláusulas do sistema de gestão e a segurança física que escopos de SOC 2 somente na nuvem tratam de forma superficial.
Custo e esforço
Nenhum dos dois tem preço fixo. A taxa externa (organismo de certificação ou firma de CPA) depende do escopo, do número de pessoas e das localidades, e costuma ser menor que o esforço interno e as ferramentas. Para uma primeira vez em uma empresa pequena, preveja meses de trabalho em tempo parcial de alguém responsável pelo programa, além da taxa de auditoria. Fazer os dois custa menos que o dobro de qualquer um, porque a maior parte dos controles e das evidências é compartilhada.
Um cronograma realista para fazer os dois
Um caminho comum para uma empresa de software que começa com o SOC 2:
- Meses 1–3: prontidão. Defina o escopo do sistema, escreva as políticas, feche as lacunas que a análise de lacunas identificar, escolha uma firma de CPA.
- Mês 3: Tipo I (opcional), assim que os controles estiverem desenhados e implementados.
- Meses 3–9: primeiro período de observação do Tipo II, normalmente de três a seis meses, com o relatório algumas semanas após o término.
- Meses 6–12: adicione o SGSI. Defina o escopo da ISO, execute a avaliação de riscos, escreva a Declaração de Aplicabilidade e realize uma auditoria interna e uma análise crítica pela direção. A maioria dos controles do Anexo A já funciona para o SOC 2.
- Meses 10–14: auditorias de Estágio 1 e Estágio 2 da ISO.
Começar pela ISO 27001 inverte a ordem: de seis a doze meses até a certificação, depois uma verificação de prontidão para o SOC 2 e um período de observação de três a seis meses. De qualquer forma, o segundo framework leva uma fração do tempo do primeiro.
Exemplo prático: uma empresa SaaS com 50 pessoas
Considere uma empresa de software B2B com 50 pessoas que possui um relatório SOC 2 Tipo II cobrindo Segurança, Disponibilidade e Confidencialidade. Um grande cliente europeu agora exige a certificação ISO 27001.
O que se aproveita: controle de acesso, gestão de mudanças, registro e monitoramento, gestão de vulnerabilidades, resposta a incidentes, gestão de fornecedores, backups e continuidade de negócios. A empresa já mantém esses controles e coleta evidências para eles, então eles entram na Declaração de Aplicabilidade em grande parte como estão.
O que é novo: o próprio SGSI. A empresa precisa de um escopo documentado (provavelmente o produto, a sua infraestrutura e as equipes que a operam), objetivos de segurança da informação com medições, um método formal de avaliação de riscos e um registro, uma Declaração de Aplicabilidade com exclusões justificadas, uma auditoria interna realizada por alguém independente do trabalho e uma análise crítica pela direção com atas. Alguns controles do Anexo A também exigem atenção, tipicamente a segurança física do escritório e a inteligência de ameaças.
O que custa: principalmente o tempo de quem é responsável pelo SGSI, além das taxas do organismo de certificação e de um auditor interno externo, caso ninguém independente esteja disponível. Como os controles e as evidências já existem, o segundo framework custa muito menos do que o primeiro.
Principais conclusões
- Mantenha um único conjunto de controles e comprove-o duas vezes. Mapeie cada controle para um controle do Anexo A e para um critério de Trust Services.
- SOC 2 → ISO: planeje o orçamento para o próprio SGSI (escopo, objetivos, tratamento de riscos, Declaração de Aplicabilidade, auditoria interna, análise crítica pela direção), e não para novos controles técnicos.
- ISO → SOC 2: decida cedo quais categorias opcionais estão no seu escopo. Privacidade e Integridade de Processamento são onde surge o trabalho novo.
Descarregar esta comparação (CSV) Abrir em análise de lacunas →
Tem ISO 27001 → precisa de SOC 2
61 req. 41 mapeados · · 20 sem mapeamento Abrir na visão de lacunas →Dos 61 requisitos de SOC 2 (Trust Services Criteria), 41 mapeiam para algo em ISO 27001, 0 são apenas vagamente relacionados e 20 não têm mapeamento em nossos dados.
Os mapeamentos da AICPA para o SOC 2 não têm licença aberta, por isso todo link SOC 2 aqui é uma análise editorial da ControlMapping: critérios que ainda não mapeámos não podem ser correspondidos. Os critérios de integridade de processamento (PI) e a maioria dos critérios de privacidade (P) não têm equivalente em frameworks de segurança.
Provável trabalho novo: requisitos de SOC 2 sem mapeamento para ISO 27001 (20)
| SOC 2 | Requisito | Correspondência | ISO 27001 | Evidências |
|---|---|---|---|---|
| P Privacy · 15 | ||||
| P1.1 | Privacy notice | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P2.1 | Choice and consent | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P3.1 | Collection limited to privacy objectives | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P3.2 | Explicit consent where required | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P4.1 | Use limited to privacy objectives | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P5.1 | Data subject access | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P5.2 | Correction of personal information | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P6.1 | Disclosure to third parties with consent | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P6.2 | Record of authorized disclosures | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P6.3 | Record of unauthorized disclosures | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P6.4 | Privacy commitments from third parties | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P6.5 | Notification by third parties of unauthorized disclosures | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P6.7 | Accounting of disclosures to data subjects | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P7.1 | Quality of personal information | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| PI1.2 | Controls over system inputs | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| PI1.3 | Controls over system processing | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| PI1.4 | Controls over system outputs | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| PI1.5 | Storing inputs, items in processing and outputs | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
Mapeado (41)
| SOC 2 | Requisito | Correspondência | ISO 27001 | Evidências |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Editorial | A.5.29A.5.30A.8.14+1 | Mesmo tópico: Continuidade de Negócios (escolha do editor) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Editorial | A.5.29A.5.30A.8.13+2 | Mesmo tópico: Continuidade de Negócios, Recuperação de desastres, Backup e recuperação (escolha do editor) |
| A1.3 | Testing recovery plan procedures | Editorial | A.5.29A.5.30A.8.14 | Mesmo tópico: Planejamento de Recuperação, Recuperação de desastres (escolha do editor) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | Editorial | A.5.12A.5.13 | Mesmo tópico: Classificação de Dados (escolha do editor) |
| C1.2 | Disposing of confidential information | Editorial | A.5.14A.8.10A.8.11+1 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Editorial | A.5.1A.5.37Clause 5.2+2 | Mesmo tópico: Política de governança (escolha do editor) |
| CC1.2 | Board independence and oversight of internal control | Editorial | A.5.2A.5.4Clause 5.1+1 | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Editorial | A.5.2A.5.4Clause 5.3 | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Editorial | A.6.3Clause 7.3A.6.1+1 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| CC1.5 | Accountability for internal control responsibilities | Editorial | A.5.2A.5.4A.6.4+1 | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| CC2 Communication and information · 3 | ||||
| CC2.1 | Quality information to support internal control | Editorial | Clause 9.1 | Análise editorial da ControlMapping: Information used to run internal control: ISO's monitoring, measurement, analysis and evaluation (9.1). |
| CC2.2 | Internal communication of objectives and responsibilities | Editorial | A.6.3Clause 7.3A.5.1+1 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| CC2.3 | Communication with external parties | Editorial | A.5.5A.5.6A.5.26+2 | Mesmo tópico: Notificação, Comunicação, Comunicação e restauração (escolha do editor) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Editorial | Clause 4.1Clause 4.2Clause 6.1.1+3 | Mesmo tópico: Ambiente de Negócios, Gestão de Riscos (escolha do editor) |
| CC3.2 | Risk identification and analysis | Editorial | Clause 6.1.2Clause 6.1.3Clause 8.2 | Mesmo tópico: Avaliação de riscos (escolha do editor) |
| CC3.3 | Considering the potential for fraud | Editorial | Clause 6.1.2Clause 6.1.3 | Mesmo tópico: Avaliação de riscos (escolha do editor) |
| CC3.4 | Identifying and assessing significant changes | Editorial | Clause 6.1.2Clause 6.1.3Clause 6.3+1 | Mesmo tópico: Avaliação de riscos (escolha do editor) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Editorial | A.5.31A.5.36Clause 9.1+2 | Mesmo tópico: Conformidade (escolha do editor) |
| CC4.2 | Communicating and remediating control deficiencies | Editorial | A.5.31A.5.36Clause 9.1+2 | Mesmo tópico: Conformidade (escolha do editor) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | Editorial | Clause 6.1.1Clause 6.1.3Clause 8.3 | Mesmo tópico: Gestão de Riscos (escolha do editor) |
| CC5.2 | General controls over technology | Editorial | A.8.9Clause 6.1.3 | Mesmo tópico: Configuração Segura (escolha do editor) |
| CC5.3 | Control activities deployed through policies and procedures | Editorial | A.5.1A.5.37Clause 5.2 | Mesmo tópico: Política de governança (escolha do editor) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | Editorial | A.5.9A.5.11A.5.15+6 | Mesmo tópico: Gestão de Ativos, Controle de acesso (escolha do editor) |
| CC6.2 | User registration, authorization and removal | Editorial | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso (escolha do editor) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Editorial | A.5.15A.5.16A.5.18+4 | Mesmo tópico: Controle de acesso (escolha do editor) |
| CC6.4 | Physical access restrictions | Editorial | A.7.1A.7.2A.7.3+6 | Mesmo tópico: Segurança Física (escolha do editor) |
| CC6.5 | Protection of data when assets are disposed of | Editorial | A.5.14A.8.10A.8.11 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| CC6.6 | Protection against threats from outside system boundaries | Editorial | A.5.15A.8.5A.8.20+3 | Mesmo tópico: Confiança Zero, Firewall / Segmentação de rede, WAF (escolha do editor) |
| CC6.7 | Restricting transmission, movement and removal of information | Editorial | A.6.7A.8.1A.8.12+1 | Mesmo tópico: Segurança Móvel, DLP (escolha do editor) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Editorial | A.5.14A.8.1A.8.7+1 | Mesmo tópico: Segurança de e-mail, Proteção de endpoints (escolha do editor) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Editorial | A.8.8A.8.9 | Mesmo tópico: Gestão de Vulnerabilidades, Gestão de Patches, Configuração Segura (escolha do editor) |
| CC7.2 | Monitoring system components for anomalies | Editorial | A.8.15A.8.16A.8.17 | Mesmo tópico: Registro e Auditoria, Monit. contínuo, Detecção de intrusão, Detecção de Anomalias (escolha do editor) |
| CC7.3 | Evaluating security events to determine if they are incidents | Editorial | A.5.24A.5.25A.5.26+1 | Mesmo tópico: Resposta a Incidentes, SIEM / SOC (escolha do editor) |
| CC7.4 | Responding to identified security incidents | Editorial | A.5.24A.5.25A.5.26+1 | Mesmo tópico: Resposta a Incidentes, Mitigação (escolha do editor) |
| CC7.5 | Recovering from identified security incidents | Editorial | A.5.26A.5.27A.5.29+3 | Mesmo tópico: Comunicação e restauração, Lições Aprendidas, Planejamento de Recuperação (escolha do editor) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Editorial | A.8.25A.8.26A.8.28+3 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Editorial | A.5.29A.5.30A.8.14+2 | Mesmo tópico: Continuidade de Negócios (escolha do editor) |
| CC9.2 | Managing vendor and business partner risk | Editorial | A.5.19A.5.20A.5.21+2 | Mesmo tópico: Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores (escolha do editor) |
| P Privacy · 3 | ||||
| P4.2 | Retention of personal information | Editorial | A.5.33A.5.34 | Análise editorial da ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own. |
| P4.3 | Disposal of personal information | Editorial | A.5.34A.8.10 | Análise editorial da ControlMapping: Securely disposing of personal information: information deletion (A.8.10) and PII protection (A.5.34). |
| P6.6 | Breach notification to affected individuals | Editorial | A.5.24A.5.26A.5.34 | Análise editorial da ControlMapping: Breach notification to affected parties and regulators: ISO's incident planning and response (A.5.24, A.5.26) plus legal PII obligations (A.5.34). ISO itself sets no notification deadline. |
Tem SOC 2 → precisa de ISO 27001
123 req. 98 mapeados · · 4 sem mapeamento Abrir na visão de lacunas →Dos 123 requisitos de ISO/IEC 27001:2022, 98 mapeiam para algo em SOC 2, 21 são apenas vagamente relacionados e 4 não têm mapeamento em nossos dados.
Provável trabalho novo: requisitos de ISO 27001 sem mapeamento para SOC 2 (4)
| ISO 27001 | Requisito | Correspondência | SOC 2 | Evidências |
|---|---|---|---|---|
| ISMS clauses 4–10 · 4 | ||||
| Clause 4.4 | Information security management system | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Clause 7.5.1 | General | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Clause 7.5.2 | Creating and updating | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Clause 7.5.3 | Control of documented information | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (21)
| ISO 27001 | Requisito | Correspondência | SOC 2 | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 5 | ||||
| A.5.7 | Threat intelligence | CC3.2CC3.3CC3.4 | Compartilha apenas CSF ID.RA-03, ID.RA-05, ID.RA-06: relacionado, não um mapeamento | |
| A.5.8 | Information security in project management | CC3.1CC6.1 | Compartilha apenas CSF GV.OC-05, ID.AM-08: relacionado, não um mapeamento | |
| A.5.10 | Acceptable use of information and other associated assets | C1.2CC6.5CC6.7+2 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.5.17 | Authentication information | CC6.1CC6.6CC6.2+2 | Compartilha apenas CSF PR.AA-03, PR.AA-05: relacionado, não um mapeamento | |
| A.5.32 | Intellectual property rights | CC1.1CC5.3 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | C1.2CC6.5CC6.7+4 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.6.5 | Responsibilities after termination or change of employment | C1.2CC6.5CC6.7+4 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.6.6 | Confidentiality or non-disclosure agreements | CC1.2CC1.3CC1.5 | Compartilha apenas CSF GV.RR-03: relacionado, não um mapeamento | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | C1.2CC6.1CC6.4+2 | Compartilha apenas CSF PR.DS-01, PR.IR-02: relacionado, não um mapeamento | |
| A.7.9 | Security of assets off-premises | C1.2CC6.1CC6.5+1 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.7.10 | Storage media | CC6.1C1.2CC6.5+1 | Compartilha apenas CSF ID.AM-08, PR.DS-01: relacionado, não um mapeamento | |
| A.7.13 | Equipment maintenance | CC6.1CC6.4 | Compartilha apenas CSF ID.AM-08, PR.IR-02: relacionado, não um mapeamento | |
| A.8 Technological controls · 7 | ||||
| A.8.4 | Access to source code | CC6.7C1.2CC6.1+5 | Compartilha apenas CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.8.23 | Web filtering | CC6.6CC9.2 | Compartilha apenas CSF PR.IR-01: relacionado, não um mapeamento | |
| A.8.27 | Secure system architecture and engineering principles | A1.1A1.2A1.3+1 | Compartilha apenas CSF PR.IR-03: relacionado, não um mapeamento | |
| A.8.30 | Outsourced development | CC4.1CC4.2 | Compartilha apenas CSF GV.OV-03: relacionado, não um mapeamento | |
| A.8.31 | Separation of development, test and production environments | CC6.6CC8.1 | Compartilha apenas CSF PR.PS-06: relacionado, não um mapeamento | |
| A.8.33 | Test information | C1.2CC6.1CC6.5+1 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.8.34 | Protection of information systems during audit testing | CC4.1CC4.2 | Compartilha apenas CSF GV.OV-03: relacionado, não um mapeamento | |
| ISMS clauses 4–10 · 2 | ||||
| Clause 7.1 | Resources | CC1.2CC1.3CC1.5 | Compartilha apenas CSF GV.RR-03: relacionado, não um mapeamento | |
| Clause 8.1 | Operational planning and control | CC9.2A1.1A1.2+2 | Compartilha apenas CSF GV.SC-01, GV.SC-03, RC.RP-04: relacionado, não um mapeamento | |
Mapeado (98)
| ISO 27001 | Requisito | Correspondência | SOC 2 | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 32 | ||||
| A.5.1 | Policies for information security | Editorial | CC1.1CC5.3CC2.2 | Mesmo tópico: Política de governança (escolha do editor) |
| A.5.2 | Information security roles and responsibilities | Editorial | CC1.2CC1.3CC1.5 | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| A.5.3 | Segregation of duties | Editorial | CC6.3 | Análise editorial da ControlMapping: Role-based access with least privilege and segregation of duties: A.5.3, access rights (A.5.18) and privileged access (A.8.2). |
| A.5.4 | Management responsibilities | Editorial | CC1.2CC1.3CC1.5 | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| A.5.5 | Contact with authorities | Editorial | CC2.3 | Mesmo tópico: Notificação (escolha do editor) |
| A.5.6 | Contact with special interest groups | Editorial | CC2.3 | Mesmo tópico: Comunicação (escolha do editor) |
| A.5.9 | Inventory of information and other associated assets | Editorial | CC6.1 | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| A.5.11 | Return of assets | Editorial | CC6.1 | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| A.5.12 | Classification of information | Editorial | C1.1 | Mesmo tópico: Classificação de Dados (escolha do editor) |
| A.5.13 | Labelling of information | Editorial | C1.1 | Mesmo tópico: Classificação de Dados (escolha do editor) |
| A.5.14 | Information transfer | Editorial | C1.2CC6.5CC6.8 | Mesmo tópico: Proteção de Dados, Segurança de e-mail (escolha do editor) |
| A.5.15 | Access control | Editorial | CC6.1CC6.2CC6.3+1 | Mesmo tópico: Controle de acesso (escolha do editor) |
| A.5.16 | Identity management | Editorial | CC6.1CC6.2CC6.3 | Mesmo tópico: Controle de acesso (escolha do editor) |
| A.5.18 | Access rights | Editorial | CC6.1CC6.2CC6.3 | Mesmo tópico: Controle de acesso (escolha do editor) |
| A.5.19 | Information security in supplier relationships | Editorial | CC9.2 | Mesmo tópico: Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores (escolha do editor) |
| A.5.20 | Addressing information security within supplier agreements | Editorial | CC9.2 | Mesmo tópico: Gestão de Risco de Fornecedores (escolha do editor) |
| A.5.21 | Managing information security in the ICT supply chain | Editorial | CC9.2 | Mesmo tópico: Risco na cadeia de suprimentos (escolha do editor) |
| A.5.22 | Monitoring, review and change management of supplier services | Editorial | CC9.2 | Mesmo tópico: Gestão de Risco de Fornecedores (escolha do editor) |
| A.5.23 | Information security for use of cloud services | Editorial | CC9.2 | Mesmo tópico: Segurança em Nuvem (escolha do editor) |
| A.5.24 | Information security incident management planning and preparation | Editorial | CC7.3CC7.4P6.6 | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| A.5.25 | Assessment and decision on information security events | Editorial | CC7.3CC7.4 | Mesmo tópico: SIEM / SOC, Resposta a Incidentes (escolha do editor) |
| A.5.26 | Response to information security incidents | Editorial | CC2.3CC7.3CC7.4+2 | Mesmo tópico: Comunicação e restauração, Resposta a Incidentes, Mitigação (escolha do editor) |
| A.5.27 | Learning from information security incidents | Editorial | CC7.5 | Mesmo tópico: Lições Aprendidas (escolha do editor) |
| A.5.28 | Collection of evidence | Editorial | CC7.4 | Mesmo tópico: Perícia forense (escolha do editor) |
| A.5.29 | Information security during disruption | Editorial | A1.1A1.2A1.3+2 | Mesmo tópico: Continuidade de Negócios, Planejamento de Recuperação (escolha do editor) |
| A.5.30 | ICT readiness for business continuity | Editorial | A1.1A1.2A1.3+2 | Mesmo tópico: Continuidade de Negócios, Recuperação de desastres, Planejamento de Recuperação (escolha do editor) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Editorial | CC4.1CC4.2 | Mesmo tópico: Conformidade (escolha do editor) |
| A.5.33 | Protection of records | Editorial | P4.2 | Análise editorial da ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own. |
| A.5.34 | Privacy and protection of PII | Editorial | P4.2P4.3P6.6 | Análise editorial da ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own.; Análise editorial da ControlMapping: Securely disposing of personal information: information deletion (A.8.10) and PII protection (A.5.34).; Análise editorial da ControlMapping: Breach notification to affected parties and regulators: ISO's incident planning and response (A.5.24, A.5.26) plus legal PII obligations (A.5.34). ISO itself sets no notification deadline. |
| A.5.35 | Independent review of information security | Editorial | CC4.1 | Análise editorial da ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| A.5.36 | Compliance with policies, rules and standards for information security | Editorial | CC4.1CC4.2 | Mesmo tópico: Conformidade (escolha do editor) |
| A.5.37 | Documented operating procedures | Editorial | CC1.1CC5.3 | Mesmo tópico: Política de governança (escolha do editor) |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Editorial | CC1.4 | Análise editorial da ControlMapping: Commitment to competence: ISO covers it as competence (7.2), screening (A.6.1) and awareness and training (A.6.3). |
| A.6.3 | Information security awareness, education and training | Editorial | CC1.4CC2.2 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| A.6.4 | Disciplinary process | Editorial | CC1.1CC1.5 | Análise editorial da ControlMapping: Tone at the top: ISO 27001 requires leadership commitment (5.1) and a disciplinary process that enforces policy (A.6.4); SOC 2 frames the same as commitment to integrity and ethical values.; Análise editorial da ControlMapping: Holding people accountable for their security responsibilities: assigned responsibilities (5.3) and a disciplinary process (A.6.4). |
| A.6.7 | Remote working | Editorial | CC6.7 | Mesmo tópico: Segurança Móvel (escolha do editor) |
| A.6.8 | Information security event reporting | Editorial | CC2.3 | Mesmo tópico: Notificação (escolha do editor) |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| A.7.2 | Physical entry | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| A.7.3 | Securing offices, rooms and facilities | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| A.7.4 | Physical security monitoring | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| A.7.5 | Protecting against physical and environmental threats | Editorial | CC6.4A1.2 | Mesmo tópico: Segurança Física (escolha do editor) |
| A.7.6 | Working in secure areas | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| A.7.8 | Equipment siting and protection | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| A.7.11 | Supporting utilities | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| A.7.12 | Cabling security | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| A.7.14 | Secure disposal or re-use of equipment | Editorial | CC6.1C1.2 | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| A.8 Technological controls · 27 | ||||
| A.8.1 | User endpoint devices | Editorial | CC6.7CC6.8 | Mesmo tópico: Segurança Móvel, Proteção de endpoints (escolha do editor) |
| A.8.2 | Privileged access rights | Editorial | CC6.3 | Mesmo tópico: Acesso privilegiado (escolha do editor) |
| A.8.3 | Information access restriction | Editorial | CC6.1CC6.2CC6.3 | Mesmo tópico: Controle de acesso (escolha do editor) |
| A.8.5 | Secure authentication | Editorial | CC6.1CC6.6 | Mesmo tópico: Autenticação multifator, Confiança Zero (escolha do editor) |
| A.8.6 | Capacity management | Editorial | A1.1 | Análise editorial da ControlMapping: Capacity: ISO's capacity management (A.8.6). |
| A.8.7 | Protection against malware | Editorial | CC6.8 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| A.8.8 | Management of technical vulnerabilities | Editorial | CC7.1 | Mesmo tópico: Gestão de Vulnerabilidades, Gestão de Patches (escolha do editor) |
| A.8.9 | Configuration management | Editorial | CC5.2CC7.1CC8.1 | Mesmo tópico: Configuração Segura (escolha do editor) |
| A.8.10 | Information deletion | Editorial | C1.2CC6.5P4.3 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| A.8.11 | Data masking | Editorial | C1.2CC6.5 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| A.8.12 | Data leakage prevention | Editorial | CC6.7 | Mesmo tópico: DLP (escolha do editor) |
| A.8.13 | Information backup | Editorial | A1.2 | Mesmo tópico: Backup e recuperação (escolha do editor) |
| A.8.14 | Redundancy of information processing facilities | Editorial | A1.1A1.2A1.3+1 | Mesmo tópico: Continuidade de Negócios, Recuperação de desastres (escolha do editor) |
| A.8.15 | Logging | Editorial | CC7.2 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| A.8.16 | Monitoring activities | Editorial | CC7.2CC7.3 | Mesmo tópico: Monit. contínuo, Detecção de intrusão, Detecção de Anomalias, SIEM / SOC (escolha do editor) |
| A.8.17 | Clock synchronization | Editorial | CC7.2 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| A.8.18 | Use of privileged utility programs | Editorial | CC6.3 | Mesmo tópico: Acesso privilegiado (escolha do editor) |
| A.8.19 | Installation of software on operational systems | Editorial | CC6.8 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| A.8.20 | Networks security | Editorial | CC6.6 | Mesmo tópico: Firewall / Segmentação de rede, WAF (escolha do editor) |
| A.8.21 | Security of network services | Editorial | CC6.6 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| A.8.22 | Segregation of networks | Editorial | CC6.6 | Mesmo tópico: Firewall / Segmentação de rede, Confiança Zero (escolha do editor) |
| A.8.24 | Use of cryptography | Editorial | CC6.1CC6.7 | Mesmo tópico: Criptografia (escolha do editor) |
| A.8.25 | Secure development life cycle | Editorial | CC8.1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| A.8.26 | Application security requirements | Editorial | CC6.6CC8.1 | Mesmo tópico: Segurança Web, Desenvolvimento Seguro (escolha do editor) |
| A.8.28 | Secure coding | Editorial | CC8.1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| A.8.29 | Security testing in development and acceptance | Editorial | CC8.1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| A.8.32 | Change management | Editorial | CC8.1 | Análise editorial da ControlMapping: Authorising, testing and approving changes: change management (A.8.32) and configuration management (A.8.9). |
| ISMS clauses 4–10 · 24 | ||||
| Clause 4.1 | Understanding the organization and its context | Editorial | CC3.1 | Mesmo tópico: Ambiente de Negócios (escolha do editor) |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Editorial | CC3.1 | Mesmo tópico: Ambiente de Negócios (escolha do editor) |
| Clause 4.3 | Determining the scope of the ISMS | Editorial | CC3.1 | Análise editorial da ControlMapping: Objectives specified clearly enough to identify risk: ISO's security objectives (6.2) within a defined ISMS scope (4.3). |
| Clause 5.1 | Leadership and commitment | Editorial | CC1.1CC1.2 | Análise editorial da ControlMapping: Tone at the top: ISO 27001 requires leadership commitment (5.1) and a disciplinary process that enforces policy (A.6.4); SOC 2 frames the same as commitment to integrity and ethical values.; Análise editorial da ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence. |
| Clause 5.2 | Policy | Editorial | CC1.1CC5.3 | Mesmo tópico: Política de governança (escolha do editor) |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Editorial | CC1.3CC1.5 | Análise editorial da ControlMapping: Both require defined structures, reporting lines, roles and authorities for security.; Análise editorial da ControlMapping: Holding people accountable for their security responsibilities: assigned responsibilities (5.3) and a disciplinary process (A.6.4). |
| Clause 6.1.1 | General | Editorial | CC3.1CC5.1CC9.1 | Mesmo tópico: Gestão de Riscos (escolha do editor) |
| Clause 6.1.2 | Information security risk assessment | Editorial | CC3.2CC3.3CC3.4 | Mesmo tópico: Avaliação de riscos (escolha do editor) |
| Clause 6.1.3 | Information security risk treatment | Editorial | CC3.1CC3.2CC3.3+4 | Mesmo tópico: Gestão de Riscos, Avaliação de riscos (escolha do editor) |
| Clause 6.2 | Information security objectives and planning to achieve them | Editorial | CC3.1 | Análise editorial da ControlMapping: Objectives specified clearly enough to identify risk: ISO's security objectives (6.2) within a defined ISMS scope (4.3). |
| Clause 6.3 | Planning of changes | Editorial | CC3.4 | Análise editorial da ControlMapping: Assessing changes that affect internal control: ISO's planning of changes (6.3) and re-assessing risk on significant change (8.2). |
| Clause 7.2 | Competence | Editorial | CC1.4 | Análise editorial da ControlMapping: Commitment to competence: ISO covers it as competence (7.2), screening (A.6.1) and awareness and training (A.6.3). |
| Clause 7.3 | Awareness | Editorial | CC1.4CC2.2 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| Clause 7.4 | Communication | Editorial | CC2.3CC7.5CC2.2 | Mesmo tópico: Comunicação, Comunicação e restauração (escolha do editor) |
| Clause 8.2 | Information security risk assessment | Editorial | CC3.2CC3.4 | Análise editorial da ControlMapping: Risk identification and analysis: ISO's risk assessment process (6.1.2) and performing it (8.2).; Análise editorial da ControlMapping: Assessing changes that affect internal control: ISO's planning of changes (6.3) and re-assessing risk on significant change (8.2). |
| Clause 8.3 | Information security risk treatment | Editorial | CC5.1 | Análise editorial da ControlMapping: Selecting control activities that reduce risk: ISO's risk treatment, planned (6.1.3) and carried out (8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Editorial | CC4.1CC4.2CC2.1 | Mesmo tópico: Conformidade (escolha do editor) |
| Clause 9.2.1 | General | Editorial | CC4.1 | Análise editorial da ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| Clause 9.2.2 | Internal audit programme | Editorial | CC4.1 | Análise editorial da ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| Clause 9.3.1 | General | Editorial | CC1.2CC4.2 | Análise editorial da ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; Análise editorial da ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 9.3.2 | Management review inputs | Editorial | CC1.2CC4.2 | Análise editorial da ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; Análise editorial da ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 9.3.3 | Management review results | Editorial | CC1.2CC4.2 | Análise editorial da ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; Análise editorial da ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 10.1 | Continual improvement | Editorial | CC7.5 | Mesmo tópico: Lições Aprendidas (escolha do editor) |
| Clause 10.2 | Nonconformity and corrective action | Editorial | CC4.2 | Análise editorial da ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
Por tópico
Ambos cobrem (46):
Apenas ISO 27001 (4):
Perguntas
A ISO 27001 ou o SOC 2 é melhor?
Nenhum dos dois: eles respondem à mesma pergunta para públicos diferentes. A ISO 27001 é um certificado reconhecido internacionalmente para um sistema de gestão; o SOC 2 é um relatório de asseguração sobre controles, no modelo norte-americano. Escolha de acordo com o que os seus clientes pedem.
A certificação ISO 27001 cobre o SOC 2?
Não formalmente: um relatório SOC 2 exige um exame de uma firma de CPA. Mas a maioria dos critérios de segurança do SOC 2 tem uma contrapartida na ISO, então uma empresa certificada na ISO precisa principalmente preencher as categorias opcionais e coletar evidências no formato do SOC 2.
Um mesmo auditor pode fazer os dois?
Algumas firmas têm tanto um organismo de certificação acreditado quanto uma prática de CPA e oferecem auditorias coordenadas, mas os dois continuam sendo trabalhos separados, com entregas separadas.
O SOC 2 ou a ISO 27001 é mais difícil de obter?
Nenhum é universalmente mais difícil. A ISO 27001 exige mais governança (o sistema de gestão e sua documentação); o SOC 2 Tipo II exige mais evidências operacionais ao longo de um período contínuo. Organizações com processos maduros, mas pouca documentação, costumam achar o SOC 2 mais fácil; as que têm boa documentação, mas evidências irregulares, costumam achar a ISO mais fácil.
Qual é mais reconhecido internacionalmente?
A ISO 27001. O SOC 2 é amplamente solicitado por clientes dos EUA e cada vez mais compreendido em outros lugares, mas a certificação ISO 27001 é o padrão internacional, especialmente na Europa, na Ásia e em licitações do setor público.
Com que frequência são renovados?
Um certificado ISO 27001 dura três anos, com auditorias de acompanhamento no primeiro e no segundo ano. Um relatório SOC 2 cobre um período passado, então os clientes esperam um novo relatório Tipo II a cada ano, idealmente sem lacuna entre os períodos.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Mapeado = curado em conjunto em um tema da ControlMapping, ou vinculado diretamente. Crosswalks não comprovam conformidade. Metodologia · Descarregar os dados · Relatar um erro.