SOC 2 vs ISO 27001: cuál necesita tu empresa

En cuanto una empresa empieza a tomarse en serio la seguridad de la información, aparecen los dos nombres: SOC 2 e ISO 27001. Y casi siempre la misma pregunta mal planteada: "¿cuál es mejor?". No es la pregunta correcta. La correcta es: ¿quién te lo está pidiendo, y para qué?

Te desarmo la diferencia sin humo.

Lo que comparten: el 80%

Los dos son marcos para gobernar la seguridad de tu información a base de controles —procesos y políticas—: control de acceso, gestión de riesgos, respuesta a incidentes, manejo de proveedores, criptografía, continuidad. En la práctica, comparten alrededor del 80% de sus controles. Por eso el trabajo pesado —levantar el andamiaje— se hace una sola vez y te sirve para los dos. Si ya entendiste que SOC 2 es un andamiaje, no un trofeo, aquí aplica igual: el andamiaje es común; lo que cambia es la credencial que cuelgas al final.

El 20% que decide

• Naturaleza. SOC 2 es una atestación: un despacho de contadores (CPA) emite una opinión sobre tus controles. ISO 27001 es una certificación: un organismo acreditado certifica que operas un Sistema de Gestión de Seguridad de la Información (SGSI).
• Geografía. SOC 2 es el estándar de Estados Unidos (AICPA). ISO 27001 es internacional — más reconocida en Europa, LatAm, Asia y en licitaciones.
• Qué miden. SOC 2 Tipo II evalúa que tus controles operaron durante un periodo. ISO 27001 evalúa que tienes un sistema de gestión vivo, con mejora continua.
• La salida. SOC 2 entrega un reporte privado (se comparte bajo NDA con tus clientes). ISO 27001 entrega un certificado público que cualquiera puede verificar.
• El ciclo. SOC 2 Tipo II se repite por periodo (típicamente anual). ISO 27001 certifica por 3 años, con auditorías de vigilancia anuales.

Cuál necesitas — la decisión, sin rodeos

• Vendes o das servicio a empresas de Estados Unidos, o eres un SaaS US-facing → tus clientes te van a pedir SOC 2 Tipo II. Es el idioma que hablan sus áreas de compras y seguridad.
• Juegas en mercado internacional, europeo, o entras a licitaciones y gobierno → ISO 27001 es la que abre puertas y la que más peso tiene en México.
• Ambos te aplican (cada vez más común) → construye el andamiaje una vez y persigue las dos. El costo incremental de la segunda es una fracción de la primera.

¿Cómo se ven los controles en cada marco?

Aquí está una diferencia práctica que casi nadie explica antes de empezar:

• ISO 27001:2022 trae una lista cerrada. Su Anexo A tiene 93 controles agrupados en cuatro temas: 37 organizacionales, 8 de personas, 14 físicos y 34 tecnológicos. Tú decides cuáles aplican a tu operación y lo justificas en la Declaración de Aplicabilidad: por qué incluyes cada control y, sobre todo, por qué excluyes los que no.
• SOC 2 no trae una lista de controles. Trae criterios. En Security, los criterios comunes van del CC1 al CC9: entorno de control, comunicación, evaluación de riesgos, monitoreo, actividades de control, accesos lógicos y físicos, operación de sistemas, gestión de cambios y mitigación de riesgos. Tú describes tus controles, y el auditor evalúa si cumplen esos criterios.

En la práctica, ISO 27001 te dice qué revisar y tú justificas lo que no haces; SOC 2 te dice qué lograr y tú demuestras cómo lo logras.

¿Cómo construir para los dos sin duplicar el trabajo?

1. Una sola matriz de controles. Cada control de tu operación aparece una vez y se relaciona con el control del Anexo A y con el criterio de SOC 2 que cubre.
2. Una sola evidencia por control. La revisión trimestral de accesos sirve para los dos marcos; no se hace dos veces con dos formatos.
3. Un solo registro de riesgos, que alimenta la Declaración de Aplicabilidad de ISO y la evaluación de riesgos que pide SOC 2.
4. Un solo juego de políticas, redactadas para cubrir ambos marcos desde el principio.
5. Auditorías coordinadas en el calendario, para que la evidencia de un año sirva a las dos revisiones.

Con esa estructura, sumar el segundo marco es sobre todo trabajo de mapeo y de auditoría, no de construir otra vez.

¿Cuánto tarda cada uno en llegar a la primera credencial?

El ritmo es distinto porque se evalúan cosas distintas. La certificación ISO 27001 se hace en dos etapas: en la primera, el organismo certificador revisa que el sistema de gestión esté documentado y listo; en la segunda, verifica que realmente opera. No exige un periodo mínimo de observación, así que una empresa con el sistema funcionando puede certificarse en cuanto pasa ambas etapas.

SOC 2 Tipo II, en cambio, obliga a esperar: los controles tienen que operar durante un periodo, normalmente de 3 meses para el primer reporte, antes de que el auditor emita su opinión. Por eso, cuando un cliente pide la credencial "para ayer", la conversación sobre cuál conviene también depende del calendario.

El error que se paga caro

El error no es elegir "la menos buena": es elegir la credencial antes de saber quién te la va a pedir. Certificar ISO 27001 para venderle a un cliente que solo reconoce SOC 2 —o al revés— es gastar seis meses y un presupuesto en un papel que tu comprador no sabe leer. Primero define tu mercado y tu cliente objetivo; la credencial se elige sola.