Guias

ISO 27001 vs SOC 2: diferenças e qual a sua empresa precisa

Pela Equipe NexoDocs · como fazemos e revisamos o conteúdo

A ISO/IEC 27001:2022 é uma norma internacional para um sistema de gestão de segurança da informação (SGSI): um organismo de certificação acreditado (no Brasil, pela Cgcre do Inmetro) faz a auditoria e emite um certificado válido por 3 anos, com auditorias de manutenção anuais. O SOC 2 é um modelo de asseguração da AICPA, a entidade dos contadores dos Estados Unidos: uma firma de auditoria CPA independente examina seus controles com base nos Trust Services Criteria e emite um relatório com opinião, não um certificado. Clientes dos Estados Unidos, sobretudo de software e nuvem, costumam pedir SOC 2; no Brasil e na América Latina a ISO 27001 é mais comum, e bancos que contratam serviços de nuvem pedem relatórios de auditoria dentro da sua avaliação de fornecedores. Grande parte do trabalho se sobrepõe (riscos, políticas, acessos, incidentes, fornecedores, evidências).

As principais diferenças em resumo

SOC 2 Tipo 1 e Tipo 2

O relatório Tipo 1 dá uma opinião sobre o desenho dos controles em uma data específica. O Tipo 2 também testa se eles funcionaram de forma eficaz durante um período combinado com o auditor, normalmente vários meses. Quem pede SOC 2 costuma esperar o Tipo 2; o Tipo 1 serve muitas vezes como primeiro passo enquanto as evidências se acumulam.

O modelo, pronto para usar

Kit de documentação SGSI ISO 27001

84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.

Ver o kit de documentação ISO 27001

Onde o trabalho se sobrepõe

Boa parte do que um projeto ISO 27001 produz também serve de evidência para um exame SOC 2:

• Avaliação e tratamento de riscos (cláusulas 6.1.2 e 6.1.3; critérios de risco SOC 2 CC3).
• Políticas e papéis (cláusula 5; controles 5.1 a 5.4; ambiente de controle SOC 2 CC1).
• Controle de acesso, autenticação e revisão de usuários (controles 5.15 a 5.18 e 8.2 a 8.5; SOC 2 CC6).
• Gestão de incidentes (controles 5.24 a 5.28; SOC 2 CC7).
• Gestão de mudanças (controle 8.32; SOC 2 CC8) e de fornecedores (controles 5.19 a 5.22; SOC 2 CC9).
• Auditoria interna e monitoramento (cláusulas 9.1 e 9.2; SOC 2 CC4).

O que não se transfere automaticamente: o SOC 2 exige uma descrição do sistema conforme os critérios de descrição da AICPA, e a firma testa amostras de evidências ao longo do período. A ISO 27001, por sua vez, exige elementos do sistema de gestão que o SOC 2 não pede da mesma forma, como a Declaração de Aplicabilidade, os objetivos de segurança e a análise crítica pela direção. A AICPA publica um mapeamento oficial entre os Trust Services Criteria e a ISO 27001.

O contexto brasileiro

No setor financeiro, a Resolução CMN nº 4.893/2021, alterada em 2025, exige que bancos e demais instituições autorizadas pelo Banco Central adotem procedimentos antes de contratar serviços relevantes de processamento, armazenamento de dados e computação em nuvem, o que inclui avaliar o prestador e ter acesso a relatórios de auditoria; por isso fornecedores de bancos recebem pedidos de ISO 27001, SOC 2 ou ambos. Não confunda SOC 2 com a NBC TO 3402 (Resolução CFC nº 1.354/2011, equivalente à ISAE 3402): essa norma brasileira trata de controles relevantes para as demonstrações financeiras dos clientes, como o SOC 1, e não de segurança no sentido do SOC 2. Para dados pessoais, o art. 46 da LGPD pede medidas de segurança técnicas e administrativas; nem a ISO 27001 nem o SOC 2 são exigidos por lei, mas ajudam a demonstrar essas medidas. Confira o texto consolidado da resolução no site do Banco Central antes de contratar.

Por qual começar

Pergunte aos clientes o que eles realmente exigem: alguns questionários de segurança aceitam mais de uma evidência, outros citam uma delas no contrato.

Mudança a caminho: a proposta de critérios 2027

Em 28 de outubro de 2026 a AICPA publicou uma proposta de atualização dos critérios do SOC 2: consolida critérios que se sobrepõem, acrescenta outros e inclui pontos de atenção sobre inteligência artificial. Os comentários vão até 15 de janeiro de 2027; se aprovados, os novos critérios valeriam para trabalhos iniciados a partir de 31 de dezembro de 2027, com adoção antecipada permitida. Se o seu serviço usa IA, a ISO/IEC 42001 cobre esse sistema de gestão.

Como o kit ISO 27001 da NexoDocs ajuda

O kit ISO 27001 da NexoDocs traz os documentos do SGSI em Word e Excel editáveis: metodologia e matriz de riscos, plano de tratamento, Declaração de Aplicabilidade com os 93 controles, políticas do Anexo A, programa e checklist de auditoria interna e uma análise de lacunas. Para o SOC 2 eles servem de base de políticas, riscos e evidências, mas o kit não inclui a descrição do sistema SOC 2 nem substitui o exame da firma CPA. Nenhum kit ou consultor pode prometer um certificado ou uma opinião sem ressalvas: isso depende do funcionamento dos controles e do auditor. Este conteúdo não é assessoria jurídica.

Próximo passo

Teste grátis ou vá direto à solução completa.

Kit de documentação SGSI ISO 27001

84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.

Ver o kit de documentação ISO 27001

Amostra grátis

Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.

Baixar a amostra grátis (em inglês)

Perguntas frequentes

Guias relacionados

Atualizado: 2026-10-30