En resumen
El SOC 2 no es una certificación: es un informe de atestación emitido por una firma de auditoría con CPA habilitados sobre los Trust Services Criteria del AICPA.
La ISO 27001 certifica el sistema de gestión de seguridad de la información y la emite un organismo acreditado, con un ciclo de tres años.
El Type I evalúa el diseño de los controles en una fecha, el Type II también su funcionamiento durante un periodo de observación.
Gran parte de los controles y evidencias es común: con una matriz de correspondencia cada evidencia vale para ambas verificaciones.
La elección depende de tus clientes: ISO 27001 para los mercados europeos, SOC 2 para los estadounidenses, ambos si vendes en los dos.
Los clientes estadounidenses piden el informe SOC 2, los europeos la ISO 27001. Si vendes software, servicios cloud o servicios gestionados en ambos mercados, tarde o temprano te llegan las dos peticiones, a menudo en el mismo trimestre. Y la pregunta se vuelve inevitable: ¿tengo que hacer dos proyectos separados, con dos consultores, dos conjuntos de documentos y dos calendarios de auditoría?
La respuesta corta es no. SOC 2 o ISO 27001 no es realmente una alternativa excluyente: los dos esquemas verifican en gran parte los mismos controles de seguridad, pero lo hacen con lógicas distintas y producen documentos distintos. El SOC 2 es un informe de atestación emitido por auditores habilitados en Estados Unidos; la ISO/IEC 27001 es una certificación del sistema de gestión emitida por un organismo acreditado. En esta guía vemos las diferencias que importan, los puntos en común, cómo elegir según tus clientes y cómo construir un único conjunto de controles y evidencias que resista ambas verificaciones.
SOC 2 e ISO 27001: ¿cuál es la diferencia en resumen?
La diferencia principal está en la naturaleza del resultado. Con la ISO 27001 obtienes un certificado que acredita la conformidad de tu sistema de gestión con una norma internacional. Con el SOC 2 obtienes un informe de atestación, es decir, un documento en el que un auditor expresa una opinión sobre los controles de un sistema frente a criterios definidos por el AICPA, la asociación estadounidense de contables y auditores públicos.
Esta diferencia tiene consecuencias prácticas: quién emite el documento, qué contiene, quién puede leerlo y cuánto dura. La tabla resume los puntos principales.
Aspecto | SOC 2 | ISO/IEC 27001 |
|---|---|---|
Qué es | Informe de atestación sobre los controles de un sistema | Certificación del sistema de gestión de seguridad de la información |
Referencia | Trust Services Criteria del AICPA | Norma internacional ISO/IEC 27001:2022 |
Quién lo emite | Una firma de auditoría con CPA habilitados | Un organismo de certificación acreditado |
Resultado | Informe detallado con descripción del sistema, opinión del auditor y, en el Type II, pruebas de los controles | Certificado con alcance, norma y validez, más los informes de auditoría reservados a la empresa |
Quién lo lee | Clientes y sus auditores, normalmente bajo confidencialidad | Cualquiera: el certificado se puede mostrar públicamente |
Mercado típico | Estados Unidos y Norteamérica | Europa y resto del mundo |
Ninguno de los dos es "mejor" en términos absolutos. Son dos lenguajes distintos para demostrar lo mismo: que tratas de forma segura la información que te confían tus clientes.
¿Qué es el SOC 2 y por qué no es una certificación?
El SOC 2 forma parte de la familia System and Organization Controls, un conjunto de servicios que el AICPA describe como ofertas que los CPA pueden prestar sobre los controles de una organización de servicios. El resultado es un informe que el auditor emite tras un examen de los controles: no hay certificado, no hay marca que mostrar ni registro público. Por eso decir "estamos certificados SOC 2" es un error de lenguaje que un cliente estadounidense experto detecta enseguida: la fórmula correcta es "tenemos un informe SOC 2".
Trust Services Criteria: las cinco categorías
La referencia del SOC 2 son los Trust Services Criteria, publicados por el AICPA. La versión de referencia es la de 2017, actualizada con los revised points of focus de 2022: los points of focus son indicaciones que ayudan a aplicar los criterios, no nuevos requisitos. Los criterios se organizan en cinco categorías: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad.
La seguridad es la base de todo informe: sus criterios, llamados common criteria, siempre están incluidos. Las demás categorías las eliges tú según lo que prometes a tus clientes. Si vendes una plataforma con compromisos de disponibilidad, tiene sentido incluir la disponibilidad; si tratas documentos confidenciales de tus clientes, la confidencialidad. Añadir categorías que no necesitas amplía el trabajo sin aportar valor a quien lee el informe.
El AICPA actualiza periódicamente los criterios mediante un proceso de consulta pública. Antes de empezar, comprueba con el auditor qué versión se aplica al periodo que se examinará.
Type I y Type II: qué cambia
El informe SOC 2 existe en dos formas. El Type I evalúa la descripción del sistema y si los controles están diseñados de forma adecuada en una fecha concreta. El Type II añade la verificación de que los controles han funcionado de forma eficaz a lo largo de un periodo de observación, y por eso incluye las pruebas realizadas por el auditor y las posibles excepciones.
En la práctica, los clientes más estructurados piden el Type II, porque demuestra que los controles funcionan en el tiempo y no solo sobre el papel. El Type I puede servir como primer paso, por ejemplo cuando un contrato está a punto de llegar y el periodo de observación aún no ha terminado. La duración del periodo la acuerdas con el auditor: lo importante es que sea coherente con lo que esperan tus clientes y que los controles estén realmente activos desde el primer día.
Quién emite el informe y quién puede leerlo
El informe SOC 2 lo emite una firma de auditoría con CPA habilitados, conforme a las normas profesionales del AICPA. No es un detalle formal: el AICPA insiste expresamente en que los servicios SOC deben evaluarse con cuidado y actúa frente a los profesionales no habilitados. Cuando elijas a quién encargar el examen, comprueba siempre la habilitación del auditor.
El informe contiene información detallada sobre tu sistema y tus controles, por eso normalmente se comparte con clientes y clientes potenciales bajo acuerdo de confidencialidad. Para un público general, el AICPA prevé el SOC 3, un informe de uso general más breve que puedes publicar incluso en tu web.
¿Qué es la certificación ISO 27001?
ISO/IEC 27001 es la norma internacional que define los requisitos para establecer, implantar, mantener y mejorar un sistema de gestión de seguridad de la información. La certificación es voluntaria, pero, como recuerda la propia ISO, se solicita a menudo para dar garantías a clientes, socios y autoridades. Si quieres profundizar en requisitos y proceso, lo encontrarás todo en nuestra guía completa de la ISO 27001; aquí nos centramos en lo que la distingue del SOC 2.
Un sistema de gestión, no solo una lista de controles
La ISO 27001 no certifica un conjunto de controles aislados, sino el sistema de gestión que los selecciona y los mantiene bajo control: contexto, liderazgo, evaluación y tratamiento del riesgo, objetivos, auditorías internas, revisión por la dirección, mejora. Los controles de referencia están en el Anexo A: según ISO, la revisión de 2022 describe 93 controles agrupados en cuatro temas, es decir, organizativos, relativos a las personas, físicos y tecnológicos.
No todos los controles se aplican a todas las empresas. En la Declaración de Aplicabilidad indicas cuáles aplicas y por qué excluyes los demás. Aquí se ve una diferencia importante con el SOC 2: en la ISO 27001 la selección de controles parte de tu evaluación del riesgo, mientras que en el SOC 2 partes de criterios fijados por el AICPA y describes cómo los cumples.
Organismo acreditado y ciclo de tres años
La certificación la emite un organismo de certificación acreditado que opera conforme a la ISO/IEC 17021-1. El ciclo dura tres años: tras la auditoría inicial, en dos fases, hay auditorías de seguimiento en el primer y el segundo año y la recertificación antes del vencimiento. El certificado es público y verificable, y puedes citarlo en tu web, en las ofertas y en las licitaciones.
El certificado indica un alcance preciso: centros, procesos y servicios cubiertos. Cuando se lo muestres a un cliente, comprueba que el servicio que le vendes entra en ese alcance. Es el mismo principio del SOC 2, donde el informe cubre solo el sistema descrito.
¿Qué tienen en común el SOC 2 y la ISO 27001?
El SOC 2 y la ISO 27001 comparten la sustancia: gran parte de los controles exigidos son los mismos. Ambos piden una gestión estructurada de los accesos, la protección de los datos, la gestión de vulnerabilidades e incidentes, la continuidad, la evaluación de proveedores y la formación del personal. El propio AICPA ha publicado una correspondencia entre Trust Services Criteria e ISO 27001, señal de que las dos referencias dialogan.
Riesgo, controles y evidencias
El punto de contacto más fuerte es el método. En ambos casos debes identificar los riesgos, elegir controles adecuados, documentarlos y demostrar con evidencias que funcionan. Un procedimiento de gestión de accesos, el registro de las revisiones periódicas de usuarios, las actas de las pruebas de restauración de copias de seguridad, los registros de formación: son las mismas evidencias que un auditor SOC 2 y un auditor ISO 27001 te pedirán ver.
Piensa en una empresa SaaS de 50 personas que gestiona los datos de sus clientes en un proveedor cloud. Para la revisión trimestral de los accesos administrativos redacta un solo procedimiento, conserva un solo registro y lo vincula tanto al control del Anexo A sobre control de accesos como al criterio correspondiente de los Trust Services Criteria. Un trabajo, dos verificaciones.
Dónde divergen de verdad
Las diferencias están en la forma de verificar. El auditor ISO 27001 comprueba que el sistema de gestión es conforme con la norma y eficaz, muestreando procesos y controles durante las auditorías. El auditor SOC 2, en el Type II, prueba que cada control descrito ha funcionado a lo largo de todo el periodo: si una revisión de accesos prevista no se hizo en un trimestre, esa excepción aparece en el informe que leerá tu cliente.
También cambia la descripción. El SOC 2 exige una descripción del sistema preparada por la dirección según los criterios de descripción del AICPA, mientras que la ISO 27001 se basa en el alcance, la Declaración de Aplicabilidad y la información documentada del sistema de gestión. Por último, la ISO 27001 pide elementos de gobierno que el SOC 2 no examina del mismo modo, como la revisión por la dirección y el ciclo de mejora.
SOC 2 o ISO 27001: ¿cuál necesita tu empresa?
La elección depende casi siempre de quiénes son tus clientes y de lo que te piden en los contratos. Antes de decidir, mira las peticiones reales que has recibido en los últimos meses: cuestionarios, cláusulas contractuales, requisitos de licitación. Son el mejor indicador de lo que realmente necesitas.
Si vendes sobre todo en Europa
Si tus clientes son mayoritariamente europeos, la ISO 27001 es normalmente el punto de partida. Es la norma que conocen los departamentos de compras, aparece a menudo en los requisitos de licitación y en la homologación de proveedores y es una referencia natural para los clientes que deben evaluar la seguridad de su cadena de suministro, por ejemplo porque están sujetos a la Directiva NIS2. Sobre la relación entre ambas encontrarás más en la guía sobre ISO 27001 y NIS2.
Si vendes sobre todo en Estados Unidos
Si tus clientes principales son estadounidenses, el SOC 2 es a menudo la petición estándar en la fase de due diligence. Muchas empresas estadounidenses tienen procesos internos construidos en torno a la lectura del informe SOC 2, en particular del Type II, y un certificado ISO 27001 por sí solo podría no bastar para cerrar la evaluación. En estos casos conviene preguntar al cliente si acepta un Type I como paso intermedio.
Si vendes en ambos mercados
Si trabajas con clientes europeos y estadounidenses, probablemente necesitarás los dos. La buena noticia es que no tienes que duplicar el trabajo: puedes construir un único sistema de controles y hacerlo verificar dos veces. Una empresa de software italiana con un cliente bancario en Milán y un distribuidor en Boston puede empezar por la ISO 27001, que estructura el sistema, y después iniciar el periodo de observación SOC 2 sobre los mismos controles ya activos.
Si tu problema principal es la cantidad de cuestionarios que recibes, incluso antes que el documento que hay que obtener, lee también nuestra guía sobre cómo responder a los cuestionarios de seguridad de los clientes: una biblioteca de respuestas basada en los controles te sirve con cualquiera de los dos esquemas.
Cómo obtener el SOC 2 y la ISO 27001 trabajando una sola vez en los controles
El enfoque que funciona es construir un único sistema y vincular cada control a ambas referencias. Así cada evidencia recogida vale doble y las auditorías se convierten en dos momentos de verificación del mismo trabajo. El camino se puede organizar en cinco pasos.
Define alcance y sistema: elige qué servicios, centros e infraestructuras incluir, y haz que el alcance ISO 27001 y el sistema descrito en el SOC 2 coincidan lo más posible.
Evalúa los riesgos una sola vez, con un método único, y a partir de ahí elige los controles del Anexo A y las categorías de los Trust Services Criteria que incluir.
Crea una matriz de correspondencia: para cada control, la referencia del Anexo A, el criterio SOC 2 vinculado, el responsable, la frecuencia y la evidencia esperada.
Recoge las evidencias de forma continua, con fechas y responsables, en lugar de reconstruirlas antes de la auditoría.
Planifica los calendarios juntos: auditoría interna, revisión por la dirección, auditorías de seguimiento ISO y periodo de observación SOC 2.
La matriz de correspondencia de los controles
La matriz es el corazón del método. En una fila encuentras, por ejemplo, la gestión de las vulnerabilidades técnicas: el control correspondiente del Anexo A, el criterio de los Trust Services Criteria sobre las operaciones del sistema, el procedimiento interno, el responsable de IT, la frecuencia mensual de los escaneos y el registro que lo demuestra. Cuando llega el auditor ISO o el auditor SOC 2, la misma fila responde a ambos.
Construirla exige atención a las diferencias de detalle. Algunos criterios SOC 2 piden describir controles que en la ISO 27001 están cubiertos por un requisito más general, y viceversa. La correspondencia publicada por el AICPA es un buen punto de partida, pero debe adaptarse a tus controles reales y verificarse con quien realizará el examen.
Evidencias continuas, no fotografías
El Type II cambia la forma de recoger las evidencias. No basta con mostrar que un control existe el día de la auditoría: debes demostrar que ha funcionado con la frecuencia declarada durante todo el periodo. Si escribes que los usuarios se revisan cada trimestre, necesitas cuatro registros fechados, no uno. Esta disciplina también beneficia a la ISO 27001, porque hace mucho más sencillas las auditorías de seguimiento.
El error típico es declarar frecuencias ambiciosas para quedar bien: revisiones mensuales que luego pasan a ser trimestrales, pruebas de restauración semanales que nadie registra. Mejor una frecuencia realista, cumplida siempre, que una frecuencia optimista con excepciones en el informe.
La auditoría interna como ensayo general
La auditoría interna es un requisito de la ISO 27001 y también el mejor momento para comprobar, antes que el auditor SOC 2, que los controles han funcionado de verdad. Quien hace el camino con Complaion realiza la auditoría interna con nosotros: la dirige el Lead Auditor de Complaion, que no verifica su propio trabajo operativo y mantiene así la imparcialidad que exige la norma. Sobre el método encontrarás una guía dedicada a la auditoría interna ISO.
¿Cuáles son los errores más comunes al afrontar el SOC 2 y la ISO 27001?
Los errores más frecuentes nacen de tratar los dos esquemas como proyectos separados o como trámites documentales. Estos son los que vemos más a menudo.
Dos proyectos paralelos con documentos, responsables y calendarios distintos: el trabajo se duplica y surgen incoherencias entre lo declarado al auditor ISO y al auditor SOC 2.
Hablar de "certificación SOC 2" en ofertas y en la web: el SOC 2 es un informe de atestación y los clientes estadounidenses lo saben.
Incluir en el SOC 2 las cinco categorías sin motivo, ampliando pruebas y evidencias sin un beneficio real para los clientes.
Iniciar el periodo de observación Type II antes de que los controles estén realmente operativos: cada carencia se convierte en una excepción en el informe.
Alcances distintos entre el certificado ISO y el sistema SOC 2, que obligan a explicar a cada cliente qué está cubierto y qué no.
Recoger las evidencias solo justo antes de la auditoría, reconstruyendo a posteriori registros que deberían haber existido durante el año.
Casi todos estos errores se evitan con una dirección única del sistema: un solo responsable de la coordinación, una sola matriz, un solo calendario.
Cómo te acompaña Complaion hacia el SOC 2 y la ISO 27001
Con Complaion construyes un único sistema de controles que sostiene tanto la certificación ISO 27001 como el examen SOC 2. Un Lead Auditor dedicado sigue a tu empresa: te ayuda a definir el alcance, evaluar los riesgos, elegir los controles del Anexo A y las categorías pertinentes de los Trust Services Criteria, y propone el camino más adecuado a tus necesidades, partiendo de lo que te piden tus clientes. También dirige la auditoría interna, así llegas a las verificaciones externas sabiendo dónde estás.
La plataforma recoge las evidencias vinculadas a cada control, gestiona los documentos del sistema, mantiene el calendario de revisiones, pruebas y auditorías y te ayuda a preparar la auditoría. El camino con Complaion evita las no conformidades y lleva a la auditoría externa con un éxito del 100%. Más de 1.000 clientes ya han elegido Complaion para certificarse y mantener la certificación en el tiempo.
Descubre el camino hacia la certificación ISO 27001 y el del SOC 2, o contáctanos para un presupuesto construido sobre tus clientes y tus mercados.
Preguntas frecuentes sobre SOC 2 e ISO 27001
¿El SOC 2 es una certificación?
No. El SOC 2 es un informe de atestación: una firma de auditoría con CPA habilitados examina los controles de un sistema frente a los Trust Services Criteria del AICPA y expresa una opinión. No existe un certificado ni un registro público. La fórmula correcta con los clientes es "tenemos un informe SOC 2", indicando si es Type I o Type II y el periodo cubierto.
Si tengo la ISO 27001, ¿los clientes estadounidenses la aceptan igualmente?
Depende del cliente. Algunos aceptan el certificado ISO 27001, quizá junto con un cuestionario de seguridad; muchos otros tienen procesos de evaluación construidos sobre el informe SOC 2 y lo piden de todos modos. Conviene preguntarlo pronto en la negociación. Si el SOC 2 hace falta, los controles ya activos para la ISO 27001 son la base de la que partir.
¿Es mejor empezar por el SOC 2 o por la ISO 27001?
Depende del mercado principal. Si la mayoría de los clientes son europeos, empezar por la ISO 27001 te da un sistema de gestión completo sobre el que añadir después el SOC 2. Si el contrato más urgente es con un cliente estadounidense, puedes empezar por el SOC 2 diseñando desde el principio los controles con la estructura del Anexo A, así la certificación ISO llega sin rehacer el trabajo.
¿Cuál es la diferencia entre SOC 2 Type I y Type II?
El Type I evalúa la descripción del sistema y el diseño de los controles en una fecha concreta. El Type II verifica además que los controles han funcionado de forma eficaz durante un periodo de observación, con las pruebas del auditor y las posibles excepciones. Los clientes más estructurados suelen pedir el Type II, porque muestra el funcionamiento en el tiempo.
¿Quién puede emitir un informe SOC 2?
Solo una firma de auditoría con CPA habilitados, que realiza el examen conforme a las normas profesionales del AICPA. No puede emitirlo un organismo de certificación ISO como tal, ni un consultor o un proveedor de software. Antes de encargar el trabajo, comprueba la habilitación del auditor: un informe emitido por quien no está habilitado corre el riesgo de no ser aceptado por los clientes.
¿Cuánto dura la validez del SOC 2 y de la ISO 27001?
El certificado ISO 27001 sigue un ciclo de tres años, con auditorías de seguimiento anuales y recertificación antes del vencimiento. El informe SOC 2 no tiene un vencimiento formal, pero se refiere a una fecha o a un periodo concretos: los clientes suelen pedir un informe reciente y, por eso, las empresas lo renuevan con periodicidad regular.
¿Puedo usar los mismos documentos para ambos?
Sí, en gran parte. Políticas, procedimientos, evaluación del riesgo, registros y actas pueden servir para ambos si están vinculados a una matriz que indique el control del Anexo A y el criterio SOC 2 correspondientes. El SOC 2 exige además una descripción del sistema según los criterios del AICPA, la ISO 27001 la Declaración de Aplicabilidad y los elementos del sistema de gestión. El resto es un único archivo de evidencias.
