ISO 27001 vs SOC 2: diferencias y cuál necesita tu empresa
ISO/IEC 27001:2022 es una norma internacional para un sistema de gestión de seguridad de la información (SGSI): la audita un organismo de certificación acreditado, que emite un certificado válido por 3 años con auditorías de seguimiento anuales. SOC 2 es un marco de atestación del AICPA (Estados Unidos): una firma de contadores públicos (CPA) independiente examina tus controles frente a los Trust Services Criteria y emite un informe con su opinión, no un certificado. Los clientes de Estados Unidos, sobre todo los que compran software o servicios en la nube, suelen pedir SOC 2; los clientes y licitaciones de Europa, Latinoamérica y el resto del mundo suelen pedir ISO 27001. Gran parte del trabajo se comparte (riesgos, políticas, control de acceso, incidentes, proveedores, evidencias) y el AICPA publica una correspondencia oficial entre ambos, por lo que muchas empresas hacen uno primero y lo reutilizan para el otro.
Las diferencias principales
| Aspecto | ISO/IEC 27001:2022 | SOC 2 |
|---|---|---|
| Qué es | Norma internacional de sistema de gestión (SGSI) | Informe de atestación sobre los controles de una organización de servicios |
| Quién lo emite | Organismo de certificación acreditado | Firma CPA independiente (normas del AICPA) |
| Resultado | Certificado público (se puede verificar) | Informe con la opinión del auditor, que normalmente se comparte con acuerdo de confidencialidad |
| Requisitos | Cláusulas 4 a 10 + Anexo A (93 controles) aplicados mediante la Declaración de Aplicabilidad | Trust Services Criteria: Seguridad (siempre) + Disponibilidad, Integridad del procesamiento, Confidencialidad y Privacidad si se eligen |
| Tiempo | Certificado por 3 años; seguimiento anual y recertificación | Tipo 1: diseño a una fecha. Tipo 2: diseño y funcionamiento durante un período |
| Dónde lo piden | En todo el mundo, licitaciones, Europa y Latinoamérica | Sobre todo clientes de Estados Unidos de servicios SaaS y en la nube |
| Enfoque | Que el sistema de gestión funcione y mejore (riesgos, objetivos, auditoría, revisión) | Que los controles que describes existan y operen como dices |
SOC 2 Tipo 1 y Tipo 2
Un informe Tipo 1 opina si los controles están bien diseñados a una fecha concreta. Un Tipo 2 además prueba si funcionaron de forma eficaz durante un período de revisión acordado con el auditor, normalmente de varios meses. Quien pide SOC 2 suele esperar un Tipo 2, por eso el Tipo 1 se usa a menudo como primer paso mientras se acumula evidencia.
Kit de documentación SGSI ISO 27001
84 archivos para documentar su SGSI según ISO/IEC 27001:2022.
Ver el kit de documentación ISO 27001Dónde se comparte el trabajo
Casi todo lo que produce un proyecto ISO 27001 sirve también como evidencia para SOC 2:
- Evaluación y tratamiento de riesgos (cláusulas 6.1.2 y 6.1.3 de ISO 27001; criterios de evaluación de riesgos CC3 de SOC 2).
- Políticas de seguridad y roles (cláusula 5; controles 5.1 a 5.4; entorno de control CC1).
- Control de acceso, autenticación y revisión de usuarios (controles 5.15 a 5.18 y 8.2 a 8.5; acceso lógico CC6).
- Gestión de incidentes (controles 5.24 a 5.28; operación del sistema CC7).
- Gestión de cambios (control 8.32; CC8) y de proveedores (controles 5.19 a 5.22; CC9).
- Auditoría interna y seguimiento (cláusulas 9.1 y 9.2; actividades de monitoreo CC4).
Lo que no se traspasa solo: SOC 2 exige una descripción del sistema redactada según los criterios de descripción del AICPA, y la firma CPA prueba muestras de evidencia del período. ISO 27001, a su vez, exige elementos de sistema de gestión que SOC 2 no pide de la misma forma, como la Declaración de Aplicabilidad, los objetivos de seguridad y la revisión por la dirección. El AICPA publica una planilla oficial que relaciona los Trust Services Criteria con ISO 27001.
Cuál hacer primero
| Tu situación | Primer paso habitual |
|---|---|
| Vendes software o servicios en la nube a empresas de Estados Unidos que piden SOC 2 | SOC 2 (Tipo 1 y luego Tipo 2) |
| Vendes en Europa o Latinoamérica, o participas en licitaciones públicas | ISO 27001 |
| Clientes de varias regiones piden ambos | ISO 27001 como base del sistema de gestión y después SOC 2 reutilizando la evidencia |
| Ningún cliente pide ninguno todavía | Arma lo básico del SGSI (riesgos, políticas, accesos, respaldos) y decide cuando aparezca un requisito real |
Pregunta a tus clientes qué exigen de verdad: algunos cuestionarios de seguridad aceptan cualquiera de los dos y otros nombran uno en el contrato.
Cambio en camino: la propuesta de Trust Services Criteria 2027
El 28 de octubre de 2026 el AICPA publicó un borrador para actualizar los Trust Services Criteria de SOC 2: consolida criterios que se repiten, agrega otros y suma puntos de enfoque sobre inteligencia artificial (supervisión y monitoreo de modelos, manipulación de instrucciones y envenenamiento de datos, datos de entrenamiento y decisiones automatizadas). Recibe comentarios hasta el 15 de enero de 2027 y, si se aprueba, se aplicaría a los encargos que empiecen desde el 31 de diciembre de 2027, con adopción anticipada permitida. Los informes actuales siguen usando los criterios de 2017 con los puntos de enfoque revisados en 2022. Si tu servicio también usa IA, ese sistema de gestión lo cubre ISO/IEC 42001.
Cómo ayuda el kit ISO 27001 de NexoDocs con ambos
El kit ISO 27001 de NexoDocs trae los documentos del SGSI en Word y Excel editables: metodología y matriz de riesgos, plan de tratamiento, Declaración de Aplicabilidad con los 93 controles, políticas del Anexo A, programa y checklist de auditoría interna y un autodiagnóstico de brechas. Están redactados para ISO/IEC 27001:2022; para SOC 2 sirven como base de políticas, riesgos y registros, pero el kit no incluye la descripción del sistema de SOC 2 ni reemplaza el examen de la firma CPA. Ni un kit ni un consultor pueden garantizar un certificado o una opinión sin salvedades: eso depende de que los controles funcionen y del auditor.
Siguiente paso
Pruebe gratis o vaya directo a la solución completa.
Kit de documentación SGSI ISO 27001
84 archivos para documentar su SGSI según ISO/IEC 27001:2022.
Ver el kit de documentación ISO 27001
Muestra gratis
Descargue gratis una versión reducida de la matriz de riesgos del kit (Excel, 10 escenarios, mapa de calor). Vea cómo calcula el nivel y la categoría antes de decidir.
Descargar la muestra gratisPreguntas frecuentes
¿SOC 2 es una certificación?
No. SOC 2 es una atestación: una firma CPA emite un informe con su opinión sobre tus controles. La que termina en un certificado de un organismo acreditado es ISO 27001.
¿ISO 27001 reemplaza a SOC 2?
No siempre. Algunos clientes aceptan ISO 27001 en lugar de SOC 2 y otros exigen el informe SOC 2 por contrato. Como el trabajo se comparte mucho, el segundo cuesta bastante menos que el primero.
¿Una empresa fuera de Estados Unidos puede tener un informe SOC 2?
Sí. El examen lo hace una firma CPA con las normas del AICPA y muchas firmas trabajan con organizaciones de servicios de otros países.
¿Cuánto dura cada uno?
El certificado ISO 27001 dura 3 años con auditorías de seguimiento anuales. Un informe SOC 2 cubre una fecha (Tipo 1) o un período (Tipo 2); los clientes suelen pedir un informe reciente cada año.
¿Qué Trust Services Criteria son obligatorios?
Seguridad (los criterios comunes) siempre se incluye. Disponibilidad, Integridad del procesamiento, Confidencialidad y Privacidad se agregan según lo que prometes a tus clientes.
Guías relacionadas
¿Qué es un SGSI y cómo se implementa con ISO 27001?
Qué es un sistema de gestión de seguridad de la información (SGSI), qué exige ISO/IEC 27001:2022, qué documentos se necesitan y cómo funciona la certificación.
Leer la guía →Análisis de brechas ISO 27001: cómo saber cuánto le falta a su SGSI
Cómo hacer el análisis de brechas ISO/IEC 27001:2022: los requisitos de las cláusulas 4 a 10, los 93 controles del Anexo A, cómo puntuar y qué hacer después.
Leer la guía →Documentos y registros obligatorios de ISO 27001:2022: checklist por cláusula
Checklist de documentos y registros que exige ISO/IEC 27001:2022, cláusula por cláusula, qué documentos del Anexo A aplican y fallas típicas de auditoría.
Leer la guía →Actualizado: 2026-10-29