In breve
Il SOC 2 non è una certificazione: è un report di attestazione emesso da una società di revisione con CPA abilitati sui Trust Services Criteria dell'AICPA.
La ISO 27001 certifica il sistema di gestione per la sicurezza delle informazioni ed è rilasciata da un organismo accreditato, con un ciclo di tre anni.
Il Type I valuta la progettazione dei controlli a una data, il Type II anche il loro funzionamento lungo un periodo di osservazione.
Gran parte dei controlli e delle evidenze è comune: con una matrice di corrispondenza ogni evidenza vale per entrambe le verifiche.
La scelta dipende dai tuoi clienti: ISO 27001 per i mercati europei, SOC 2 per quelli americani, entrambi se vendi su tutti e due.
I clienti americani chiedono il report SOC 2, quelli europei la ISO 27001. Se vendi software, servizi cloud o servizi gestiti a entrambi i mercati, prima o poi ti arrivano tutte e due le richieste, spesso nello stesso trimestre. E la domanda diventa inevitabile: devo fare due progetti separati, con due consulenti, due set di documenti e due calendari di audit?
La risposta breve è no. SOC 2 o ISO 27001 non è davvero un'alternativa secca: i due schemi verificano in gran parte gli stessi controlli di sicurezza, ma lo fanno con logiche diverse e producono documenti diversi. Il SOC 2 è un report di attestazione emesso da revisori abilitati negli Stati Uniti; la ISO/IEC 27001 è una certificazione del sistema di gestione rilasciata da un organismo accreditato. In questa guida vediamo le differenze che contano, i punti in comune, come scegliere in base ai tuoi clienti e come costruire un unico insieme di controlli ed evidenze che regga entrambe le verifiche.
SOC 2 e ISO 27001: qual è la differenza in sintesi?
La differenza principale riguarda la natura del risultato. Con la ISO 27001 ottieni un certificato che attesta la conformità del tuo sistema di gestione a una norma internazionale. Con il SOC 2 ottieni un report di attestazione, cioè un documento in cui un revisore esprime un'opinione sui controlli di un sistema rispetto a criteri definiti dall'AICPA, l'associazione dei commercialisti e revisori statunitensi.
Questa differenza ha conseguenze pratiche: chi rilascia il documento, cosa contiene, chi può leggerlo e quanto dura. La tabella riassume i punti principali.
Aspetto | SOC 2 | ISO/IEC 27001 |
|---|---|---|
Che cos'è | Report di attestazione sui controlli di un sistema | Certificazione del sistema di gestione per la sicurezza delle informazioni |
Riferimento | Trust Services Criteria dell'AICPA | Norma internazionale ISO/IEC 27001:2022 |
Chi lo rilascia | Una società di revisione con CPA abilitati | Un organismo di certificazione accreditato |
Risultato | Report dettagliato con descrizione del sistema, opinione del revisore e, nel Type II, test dei controlli | Certificato con scopo, norma e validità, più i rapporti di audit riservati all'azienda |
Chi lo legge | Clienti e loro revisori, di solito sotto riservatezza | Chiunque: il certificato si può mostrare pubblicamente |
Mercato tipico | Stati Uniti e Nord America | Europa e resto del mondo |
Nessuno dei due è "migliore" in assoluto. Sono due linguaggi diversi per dimostrare la stessa cosa: che tratti in modo sicuro le informazioni che i clienti ti affidano.
Cos'è il SOC 2 e perché non è una certificazione?
Il SOC 2 fa parte della famiglia System and Organization Controls, un insieme di servizi che l'AICPA descrive come offerte che i CPA possono fornire sui controlli di un'organizzazione di servizi. Il risultato è un report che il revisore emette dopo un esame dei controlli: non c'è un certificato, non c'è un marchio da apporre e non c'è un registro pubblico. Per questo dire "siamo certificati SOC 2" è un errore di linguaggio che un cliente americano esperto nota subito: la formula corretta è "abbiamo un report SOC 2".
Trust Services Criteria: le cinque categorie
Il riferimento del SOC 2 sono i Trust Services Criteria, pubblicati dall'AICPA. La versione di riferimento è quella del 2017, aggiornata con i revised points of focus del 2022: i points of focus sono indicazioni che aiutano ad applicare i criteri, non nuovi requisiti. I criteri sono organizzati in cinque categorie: sicurezza, disponibilità, integrità dell'elaborazione, riservatezza e privacy.
La sicurezza è la base di ogni report: i suoi criteri, detti common criteria, sono sempre inclusi. Le altre categorie le scegli tu in base a ciò che prometti ai clienti. Se vendi una piattaforma con impegni di uptime, ha senso includere la disponibilità; se tratti documenti riservati dei clienti, la riservatezza. Aggiungere categorie che non ti servono allarga il lavoro senza dare valore a chi legge il report.
L'AICPA aggiorna periodicamente i criteri attraverso un processo di consultazione pubblica. Prima di partire, verifica con il revisore quale versione si applica al periodo che verrà esaminato.
Type I e Type II: cosa cambia
Il report SOC 2 esiste in due forme. Il Type I valuta la descrizione del sistema e se i controlli sono progettati in modo adeguato a una data specifica. Il Type II aggiunge la verifica che i controlli abbiano funzionato in modo efficace lungo un periodo di osservazione, e per questo include i test svolti dal revisore e le eventuali eccezioni.
Nella pratica i clienti più strutturati chiedono il Type II, perché dimostra che i controlli funzionano nel tempo e non solo sulla carta. Il Type I può servire come primo passo, per esempio quando un contratto è in arrivo e il periodo di osservazione non è ancora concluso. La durata del periodo la concordi con il revisore: conta che sia coerente con le attese dei tuoi clienti e che i controlli siano davvero attivi dal primo giorno.
Chi emette il report e chi può leggerlo
Il report SOC 2 lo emette una società di revisione con CPA abilitati, secondo gli standard professionali dell'AICPA. Non è un dettaglio formale: l'AICPA richiama esplicitamente l'attenzione sul fatto che i servizi SOC vanno valutati con cura e interviene sui revisori non abilitati. Quando scegli a chi affidare l'esame, verifica sempre l'abilitazione del revisore.
Il report contiene informazioni dettagliate sul tuo sistema e sui tuoi controlli, per questo di solito si condivide con clienti e potenziali clienti sotto accordo di riservatezza. Per un pubblico generale l'AICPA prevede il SOC 3, un report per uso generale più sintetico, che puoi pubblicare anche sul sito.
Cos'è la certificazione ISO 27001?
ISO/IEC 27001 è la norma internazionale che definisce i requisiti per istituire, attuare, mantenere e migliorare un sistema di gestione per la sicurezza delle informazioni. La certificazione è volontaria, ma, come ricorda la stessa ISO, viene spesso richiesta per dare garanzie a clienti, partner e autorità. Se vuoi approfondire requisiti e percorso, trovi tutto nella nostra guida completa alla ISO 27001; qui ci concentriamo su cosa la distingue dal SOC 2.
Un sistema di gestione, non solo un elenco di controlli
La ISO 27001 non certifica un insieme di controlli isolati, ma il sistema di gestione che li sceglie e li tiene sotto controllo: contesto, leadership, valutazione e trattamento del rischio, obiettivi, audit interni, riesame della direzione, miglioramento. I controlli di riferimento sono nell'Annex A: secondo ISO, la revisione del 2022 descrive 93 controlli raggruppati in quattro temi, cioè organizzativi, relativi alle persone, fisici e tecnologici.
Non tutti i controlli valgono per ogni azienda. Nella Dichiarazione di Applicabilità indichi quali applichi e perché escludi gli altri. È qui che si vede una differenza importante con il SOC 2: nella ISO 27001 la selezione dei controlli parte dalla tua valutazione del rischio, mentre nel SOC 2 parti da criteri fissati dall'AICPA e descrivi come li soddisfi.
Organismo accreditato e ciclo di tre anni
La certificazione la rilascia un organismo di certificazione accreditato, che opera secondo la ISO/IEC 17021-1. Il ciclo dura tre anni: dopo l'audit iniziale, in due fasi, ci sono audit di sorveglianza nel primo e nel secondo anno e la ricertificazione prima della scadenza. Il certificato è pubblico e verificabile, e puoi citarlo su sito, offerte e gare.
Il certificato riporta uno scopo preciso: sedi, processi e servizi coperti. Quando lo mostri a un cliente, controlla che il servizio che gli vendi rientri in quello scopo. È lo stesso principio del SOC 2, dove il report copre solo il sistema descritto.
Cosa hanno in comune SOC 2 e ISO 27001?
SOC 2 e ISO 27001 condividono la sostanza: gran parte dei controlli richiesti è la stessa. Entrambi chiedono una gestione strutturata degli accessi, la protezione dei dati, la gestione delle vulnerabilità e degli incidenti, la continuità, la valutazione dei fornitori, la formazione del personale. L'AICPA stessa ha pubblicato una mappatura tra Trust Services Criteria e ISO 27001, segno che i due riferimenti dialogano.
Rischio, controlli ed evidenze
Il punto di contatto più forte è il metodo. In entrambi i casi devi identificare i rischi, scegliere controlli adeguati, documentarli e dimostrare con evidenze che funzionano. Una procedura di gestione degli accessi, il registro delle revisioni periodiche delle utenze, i verbali dei test di ripristino dei backup, i registri della formazione: sono le stesse evidenze che un revisore SOC 2 e un auditor ISO 27001 ti chiedono di vedere.
Prendi un'azienda SaaS di 50 persone che gestisce i dati dei propri clienti su un fornitore cloud. Per la revisione trimestrale degli accessi amministrativi scrive una sola procedura, conserva un solo registro e lo collega sia al controllo dell'Annex A sul controllo degli accessi sia al criterio corrispondente dei Trust Services Criteria. Un lavoro, due verifiche.
Dove divergono davvero
Le differenze stanno nel modo di verificare. L'auditor ISO 27001 verifica che il sistema di gestione sia conforme alla norma ed efficace, campionando processi e controlli durante gli audit. Il revisore SOC 2, nel Type II, testa che ogni controllo descritto abbia funzionato lungo tutto il periodo: se una revisione degli accessi prevista non è stata fatta in un trimestre, quell'eccezione compare nel report che il cliente leggerà.
Cambia anche la descrizione. Il SOC 2 richiede una descrizione del sistema preparata dalla direzione secondo i criteri di descrizione dell'AICPA, mentre la ISO 27001 si basa su scopo, Dichiarazione di Applicabilità e informazioni documentate del sistema di gestione. Infine, la ISO 27001 chiede elementi di governo che il SOC 2 non esamina allo stesso modo, come il riesame della direzione e il ciclo di miglioramento.
SOC 2 o ISO 27001: quale serve alla tua azienda?
La scelta dipende quasi sempre da chi sono i tuoi clienti e da cosa ti chiedono nei contratti. Prima di decidere, guarda le richieste reali che hai ricevuto negli ultimi mesi: questionari, clausole contrattuali, requisiti di gara. Sono il miglior indicatore di cosa ti serve davvero.
Se vendi soprattutto in Europa
Se i tuoi clienti sono in prevalenza europei, la ISO 27001 è di solito il punto di partenza. È lo standard che gli uffici acquisti conoscono, compare spesso nei requisiti di gara e nelle qualifiche dei fornitori ed è un riferimento naturale per i clienti che devono valutare la sicurezza della propria catena di fornitura, per esempio perché soggetti alla direttiva NIS2. Sul rapporto tra le due trovi un approfondimento nella guida su ISO 27001 e NIS2.
Se vendi soprattutto negli Stati Uniti
Se i tuoi clienti principali sono americani, il SOC 2 è spesso la richiesta standard nella fase di due diligence. Molte aziende statunitensi hanno processi interni costruiti attorno alla lettura del report SOC 2, in particolare del Type II, e un certificato ISO 27001 da solo potrebbe non bastare a chiudere la valutazione. In questi casi vale la pena chiedere al cliente se accetta un Type I come passaggio intermedio.
Se vendi su entrambi i mercati
Se lavori con clienti europei e americani, probabilmente ti serviranno entrambi. La buona notizia è che non devi raddoppiare il lavoro: puoi costruire un unico sistema di controlli e farlo verificare due volte. Una software house italiana con un cliente bancario a Milano e un distributore a Boston può partire dalla ISO 27001, che struttura il sistema, e poi avviare il periodo di osservazione SOC 2 sugli stessi controlli già attivi.
Se il tuo problema principale è la quantità di questionari che ricevi, prima ancora del documento da ottenere, leggi anche la nostra guida su come rispondere ai questionari di sicurezza dei clienti: una libreria di risposte basata sui controlli ti serve con qualsiasi dei due schemi.
Come ottenere SOC 2 e ISO 27001 lavorando una sola volta sui controlli
L'approccio che funziona è costruire un solo sistema e collegare ogni controllo a entrambi i riferimenti. In questo modo ogni evidenza raccolta vale due volte e gli audit diventano due momenti di verifica dello stesso lavoro. Il percorso si può organizzare in cinque passi.
Definisci perimetro e sistema: scegli quali servizi, sedi e infrastrutture includere, e fai in modo che lo scopo ISO 27001 e il sistema descritto nel SOC 2 coincidano il più possibile.
Valuta i rischi una volta sola, con un metodo unico, e da lì scegli i controlli dell'Annex A e le categorie dei Trust Services Criteria da includere.
Crea una matrice di corrispondenza: per ogni controllo, il riferimento Annex A, il criterio SOC 2 collegato, il responsabile, la frequenza e l'evidenza attesa.
Raccogli le evidenze in modo continuo, con date e responsabili, invece di ricostruirle prima dell'audit.
Pianifica i calendari insieme: audit interno, riesame della direzione, audit di sorveglianza ISO e periodo di osservazione SOC 2.
La matrice di corrispondenza dei controlli
La matrice è il cuore del metodo. In una riga trovi, per esempio, la gestione delle vulnerabilità tecniche: il controllo Annex A corrispondente, il criterio dei Trust Services Criteria sulle operazioni di sistema, la procedura interna, il responsabile IT, la frequenza mensile delle scansioni e il registro che lo dimostra. Quando arriva l'auditor ISO o il revisore SOC 2, la stessa riga risponde a entrambi.
Costruirla richiede attenzione alle differenze di dettaglio. Alcuni criteri SOC 2 chiedono di descrivere controlli che nella ISO 27001 sono coperti da un requisito più generale, e viceversa. La mappatura pubblicata dall'AICPA è un buon punto di partenza, ma va adattata ai tuoi controlli reali e verificata con chi farà l'esame.
Evidenze continue, non fotografie
Il Type II cambia il modo di raccogliere le evidenze. Non basta mostrare che un controllo esiste il giorno dell'audit: devi dimostrare che ha funzionato con la frequenza dichiarata per tutto il periodo. Se scrivi che le utenze sono riesaminate ogni trimestre, servono quattro registrazioni datate, non una. Questa disciplina fa bene anche alla ISO 27001, perché rende gli audit di sorveglianza molto più semplici.
L'errore tipico è dichiarare frequenze ambiziose per fare bella figura: revisioni mensili che poi diventano trimestrali, test di ripristino settimanali che nessuno registra. Meglio una frequenza realistica, rispettata sempre, che una frequenza ottimistica con eccezioni nel report.
L'audit interno come prova generale
L'audit interno è un requisito della ISO 27001 ed è anche il momento migliore per verificare, prima del revisore SOC 2, che i controlli abbiano funzionato davvero. Chi fa il percorso con Complaion svolge l'audit interno con noi: lo conduce il Lead Auditor Complaion, che non verifica il proprio lavoro operativo e mantiene così l'imparzialità richiesta dalla norma. Sul metodo trovi una guida dedicata all'audit interno ISO.
Quali sono gli errori più comuni quando si affrontano SOC 2 e ISO 27001?
Gli errori più frequenti nascono dal trattare i due schemi come progetti separati o come pratiche documentali. Questi sono quelli che vediamo più spesso.
Due progetti paralleli con documenti, responsabili e calendari diversi: si raddoppia il lavoro e si creano incoerenze tra quanto dichiarato all'auditor ISO e al revisore SOC 2.
Parlare di "certificazione SOC 2" in offerte e sito: il SOC 2 è un report di attestazione e i clienti americani lo sanno.
Includere nel SOC 2 tutte e cinque le categorie senza motivo, allargando test ed evidenze senza un reale beneficio per i clienti.
Avviare il periodo di osservazione Type II prima che i controlli siano davvero operativi: ogni mancanza diventa un'eccezione nel report.
Perimetri diversi tra certificato ISO e sistema SOC 2, che costringono a spiegare a ogni cliente cosa è coperto e cosa no.
Raccogliere le evidenze solo a ridosso dell'audit, ricostruendo a posteriori registri che avrebbero dovuto esistere durante l'anno.
Quasi tutti questi errori si evitano con una regia unica del sistema: un solo responsabile del coordinamento, una sola matrice, un solo calendario.
Come Complaion ti accompagna verso SOC 2 e ISO 27001
Con Complaion costruisci un unico sistema di controlli che regge sia la certificazione ISO 27001 sia l'esame SOC 2. Un Lead Auditor dedicato segue la tua azienda: ti aiuta a definire il perimetro, a valutare i rischi, a scegliere i controlli dell'Annex A e le categorie dei Trust Services Criteria pertinenti, e propone il percorso più adatto alle tue esigenze, partendo da quello che ti chiedono i tuoi clienti. Conduce anche l'audit interno, così arrivi alle verifiche esterne sapendo dove sei.
La piattaforma raccoglie le evidenze collegate a ogni controllo, gestisce i documenti del sistema, tiene lo scadenziario di revisioni, test e audit e ti aiuta a preparare l'audit. Il percorso con Complaion evita le non conformità e porta all'audit esterno con un successo del 100%. Oltre 1.000 clienti hanno già scelto Complaion per certificarsi e mantenere la certificazione nel tempo.
Scopri il percorso per la certificazione ISO 27001 e quello per il SOC 2, oppure contattaci per un preventivo costruito sui tuoi clienti e sui tuoi mercati.
Domande frequenti su SOC 2 e ISO 27001
Il SOC 2 è una certificazione?
No. Il SOC 2 è un report di attestazione: una società di revisione con CPA abilitati esamina i controlli di un sistema rispetto ai Trust Services Criteria dell'AICPA ed esprime un'opinione. Non esiste un certificato né un registro pubblico. La formula corretta da usare con i clienti è "abbiamo un report SOC 2", indicando se è Type I o Type II e il periodo coperto.
Se ho la ISO 27001, i clienti americani accettano lo stesso?
Dipende dal cliente. Alcuni accettano il certificato ISO 27001, magari insieme a un questionario di sicurezza; molti altri hanno processi di valutazione costruiti sul report SOC 2 e lo chiedono comunque. Conviene chiederlo presto nella trattativa. Se il SOC 2 serve, i controlli già attivi per la ISO 27001 sono la base da cui partire.
Meglio iniziare dal SOC 2 o dalla ISO 27001?
Dipende dal mercato principale. Se la maggior parte dei clienti è europea, partire dalla ISO 27001 ti dà un sistema di gestione completo su cui innestare poi il SOC 2. Se il contratto più urgente è con un cliente americano, puoi partire dal SOC 2 progettando fin da subito i controlli con la struttura dell'Annex A, così la certificazione ISO arriva senza rifare il lavoro.
Qual è la differenza tra SOC 2 Type I e Type II?
Il Type I valuta la descrizione del sistema e la progettazione dei controlli a una data specifica. Il Type II verifica anche che i controlli abbiano funzionato in modo efficace lungo un periodo di osservazione, con i test del revisore e le eventuali eccezioni. I clienti più strutturati chiedono di solito il Type II, perché mostra il funzionamento nel tempo.
Chi può emettere un report SOC 2?
Solo una società di revisione con CPA abilitati, che svolge l'esame secondo gli standard professionali dell'AICPA. Non può emetterlo un organismo di certificazione ISO in quanto tale, né un consulente o un fornitore di software. Prima di affidare l'incarico, verifica l'abilitazione del revisore: un report emesso da chi non è abilitato rischia di non essere accettato dai clienti.
Quanto dura la validità di SOC 2 e ISO 27001?
Il certificato ISO 27001 segue un ciclo di tre anni, con audit di sorveglianza annuali e ricertificazione prima della scadenza. Il report SOC 2 non ha una scadenza formale, ma si riferisce a una data o a un periodo preciso: i clienti tendono a chiedere un report recente e, per questo, le aziende lo rinnovano con periodicità regolare.
Posso usare gli stessi documenti per entrambi?
Sì, in gran parte. Politiche, procedure, valutazione del rischio, registri e verbali possono servire a entrambi se sono collegati a una matrice che indica il controllo Annex A e il criterio SOC 2 corrispondenti. Il SOC 2 richiede in più una descrizione del sistema secondo i criteri dell'AICPA, la ISO 27001 la Dichiarazione di Applicabilità e gli elementi del sistema di gestione. Il resto è un unico archivio di evidenze.
