¿ISO 27001 o SOC 2? ¿Cuál encaja con tu pyme neerlandesa?
ISO 27001 está orientado al mercado europeo; SOC 2, al americano. ¿Cuál exigen tus clientes? ¿Y pueden combinarse? Aquí tienes las diferencias prácticas para una pyme.
La versión corta: ¿tienes clientes en la UE? ISO 27001. ¿Tienes clientes en EE. UU.? SOC 2. ¿Tienes ambos? Considera ISO 27001 + SOC 2 Type II — se solapan en un 70-80%.
\n \nDiferencias de filosofía
\n-
\n
- ISO 27001: certificado, válido tres años, auditoría de seguimiento anual. Demuestra que tu ISMS funciona. \n
- SOC 2: informe, anual o semestral. Demuestra que tus controles funcionaron durante un periodo concreto. \n
Trust Service Criteria (SOC 2)
\nSOC 2 tiene 5 criterios: Security (siempre obligatorio), Availability, Confidentiality, Processing Integrity y Privacy. Tú eliges cuáles quieres evaluar. Para la mayoría de pymes: Security + Confidentiality.
\n \n¿Qué piden los clientes?
\n-
\n
- Clientes tecnológicos de EE. UU.: casi siempre solicitan SOC 2 Type II. \n
- Grandes empresas de la UE: ISO 27001 es la petición estándar. \n
- Administración pública de la UE: ISO 27001 y, en ocasiones, BIO. \n
- Servicios financieros: ambos más requisitos sectoriales específicos. \n
Combinarlos
\nMuchas pymes que crecen internacionalmente empiezan por ISO 27001 (es más sencillo "construir" sobre un único certificado) y después añaden SOC 2 sobre el conjunto de controles ya existente. El solapamiento supera el 70%, por lo que el trabajo adicional es mínimo.
\n \nVéase también: artículo principal sobre ISO 27001, costes de certificación.
Volledige gids: ISO 27001 para pymes sin gastar €50k en consultores
Dit artikel is onderdeel van onze uitgebreide Compliance-gids. Lees de pillar voor het complete plaatje.
Lees de pillar →