Mapeo de controles ISO 27001 con SOC 2: una guía práctica

La mayoría de los controles del Anexo A de ISO 27001 tienen un equivalente en SOC 2, y la mayoría de los criterios de SOC 2 se corresponden con algún control del Anexo A. El solapamiento es mayor en control de acceso, registro, gestión de cambios, supervisión de proveedores y respuesta a incidentes. Sin embargo, no existe una correspondencia exacta uno a uno. ISO 27001 añade un sistema de gestión (Cláusulas 4 a 10) para el que SOC 2 no tiene un equivalente directo. SOC 2, por su parte, añade criterios específicos del sistema y la opinión de un CPA que la certificación ISO no puede sustituir.

Esta guía muestra dónde se alinean los controles, cómo construir una matriz de mapeo, qué evidencia puede reutilizarse y cómo dimensionar el trabajo pendiente. Está dirigida a responsables de cumplimiento, gestores de TI y responsables de seguridad de empresas que ya cuentan con uno de los marcos y necesitan el otro.

En resumen

• El control de acceso, el registro y la monitorización, la gestión de cambios, la gestión de proveedores y la respuesta a incidentes presentan la correspondencia más limpia entre el Anexo A y los Criterios Comunes de SOC 2.
• La principal brecha para un equipo que ya dispone de un informe SOC 2 es el propio SGSI: las Cláusulas 4 a 10, el proceso de tratamiento de riesgos y la Declaración de Aplicabilidad.
• La evidencia técnica —como registros, configuraciones e informes de análisis de vulnerabilidades— suele ser reutilizable. Los registros de gobernanza, como las revisiones por la dirección y la DdA, se evalúan de forma independiente.
• La certificación ISO 27001 no sustituye a una auditoría SOC 2, y un informe SOC 2 no otorga la certificación ISO.
• Construya un inventario de controles único, mapéelo a ambos marcos y dimensione únicamente las brechas.

Tabla de contenidos

• Qué se mapea realmente
• Dónde se alinean los controles
• Qué no tiene correspondencia
• Cómo construir la matriz de mapeo
• Evidencia reutilizable y evidencia que no lo es
• ¿ISO 27001 sustituye a SOC 2 o viceversa?
• Dimensionar el trabajo para cerrar las brechas
• Estime el esfuerzo antes de comprometerse
• Nuestra perspectiva
• Preguntas frecuentes
• Fuentes

Qué se mapea realmente

Los dos marcos están construidos de forma diferente, y eso condiciona cada decisión de mapeo.

ISO 27001 certifica un Sistema de Gestión de Seguridad de la Información. Exige la conformidad con las Cláusulas 4 a 10, incluidas las auditorías internas y la revisión por la dirección. El Anexo A funciona como conjunto de referencia de controles: ISO 27001:2022 contiene 93 recomendaciones de controles en el Anexo A, y usted decide cuáles aplican mediante el tratamiento de riesgos. El resultado es un certificado con validez de tres años, con auditorías de seguimiento intermedias.

SOC 2 es una atestación del AICPA. Una firma de CPA evalúa un sistema definido frente a los Criterios de Servicios de Confianza. El AICPA describe los criterios como orientados a resultados: comprueban si un sistema y sus controles ofrecen una garantía razonable de cumplir los objetivos de la dirección. La Seguridad (los Criterios Comunes) es obligatoria. Disponibilidad, Integridad del procesamiento, Confidencialidad y Privacidad son categorías opcionales que se añaden según las expectativas de los clientes. El Tipo 1 evalúa el diseño en una fecha concreta. El Tipo 2 evalúa la eficacia operativa, generalmente durante un período de tres a doce meses. El resultado es un informe, no un certificado.

En resumen, ISO pregunta si gestiona la seguridad como un sistema gestionado y basado en riesgos. SOC 2 pregunta si un servicio específico dispone de controles que han funcionado. Como la pregunta es diferente, el mismo control puede satisfacer ambos marcos mientras que la documentación que lo rodea no lo hace.

Dónde se alinean los controles

La tabla siguiente muestra las alineaciones habituales entre los Criterios Comunes de SOC 2 e ISO 27001:2022. Es una herramienta orientativa elaborada a partir de cómo se leen habitualmente ambas estructuras en paralelo, no una correspondencia oficial. Su propio mapeo dependerá del alcance, la evaluación de riesgos y los controles que realmente implemente.

Para la versión autorizada celda a celda, utilice el mapeo publicado por el AICPA de los Criterios de Servicios de Confianza de 2017 con ISO 27001. Es una hoja de cálculo que puede filtrar frente a su propio inventario. Tenga en cuenta que fue elaborada con la numeración de controles anterior de ISO 27001, por lo que deberá traducir las referencias al esquema del Anexo A de 2022. Nuestra guía de controles del Anexo A explicados explica cómo se agrupan los controles de 2022.

Por qué hay que tratar con cautela las afirmaciones de «80% de solapamiento»

Encontrará cifras como el 80% o incluso el 100% de los controles de SOC 2 mapeados con el Anexo A. Trátelas como orientativas. El solapamiento depende de tres factores:

1. Las categorías de SOC 2 incluidas en el alcance. Un informe que solo cubre Seguridad tiene un solapamiento diferente al que añade Privacidad e Integridad del procesamiento.
2. Su Declaración de Aplicabilidad. El Anexo A es una herramienta de apoyo, no una lista obligatoria. Los controles que debe implementar se derivan de su propia evaluación de riesgos, por lo que dos empresas pueden tener distinto solapamiento con el mismo informe SOC 2.
3. El alcance del sistema frente al alcance organizativo. SOC 2 cubre un sistema definido. ISO certifica el alcance que usted declara para el SGSI. Los controles solo pueden evaluarse una única vez para ambos marcos cuando los alcances coinciden.

Un control que se corresponde sobre el papel sigue teniendo que operar en todo el alcance de ISO. Si su SOC 2 cubre una plataforma de producción y su alcance del SGSI abarca toda la empresa, la evidencia de SOC 2 solo cubre una parte de lo que un auditor de ISO muestreará.

Qué no tiene correspondencia

Los elementos sin correspondencia son donde reside el esfuerzo, así que identifíquelos cuanto antes.

En el lado de ISO, sin equivalente directo en SOC 2

• Cláusulas 4 a 10. Contexto de la organización, partes interesadas, alcance del SGSI, política, objetivos, competencia, información documentada, auditoría interna, revisión por la dirección y mejora continua. Esta es la brecha principal para una organización con SOC 2 que persigue la certificación ISO 27001.
• La Declaración de Aplicabilidad. ISO exige documentar los controles necesarios, justificarlos y justificar cualquier exclusión del Anexo A. Consulte nuestra guía sobre la Declaración de Aplicabilidad para saber cómo redactar una que un auditor acepte.
• Un plan de tratamiento de riesgos formal con propietarios de riesgo que aprueben el riesgo residual.
• Actas de la revisión por la dirección según la Cláusula 9.3, y un programa de auditoría interna documentado.

En el lado de SOC 2, sin equivalente directo en ISO

• Descripción del sistema y compromisos de servicio. SOC 2 requiere una descripción narrativa del sistema, sus límites y los compromisos adquiridos con los clientes.
• Controles de entidades usuarias complementarias y exclusiones de subproveedores de servicios. Describen lo que sus clientes y proveedores deben hacer para que sus controles funcionen.
• Eficacia operativa durante un período. Un informe Tipo 2 muestrea evidencia a lo largo de varios meses. Las auditorías de seguimiento de ISO también realizan muestreos, pero con una cadencia diferente.
• La propia opinión del CPA. SOC 2 da como resultado un informe de atestación emitido por una firma de CPA, no un certificado.

Cómo construir la matriz de mapeo

Una matriz útil es una matriz sencilla. Esta es la secuencia que funciona.

1. Construya un inventario de controles único. Enumere todos los controles que opera realmente: aplicación de MFA, revisiones de acceso trimestrales, restauraciones de copias de seguridad, revisiones de proveedores, etc. Asigne un propietario a cada uno.
2. Mapee cada control a ambos marcos. Utilice el libro de trabajo del AICPA como punto de partida, tal como hace el enfoque de correspondencia GRACE. Añada columnas para la referencia del Anexo A y el criterio de SOC 2.
3. Añada la fuente de evidencia. Indique el sistema del que proviene la prueba: la exportación del proveedor de identidad, el sistema de tickets, el análisis de configuración en la nube.
4. Marque las brechas. Identifique cada requisito de ISO sin equivalente en SOC 2, y cada control del Anexo A incluido en su DdA que no esté cubierto por ningún elemento del inventario.
5. Registre el estado. Use estados simples: operativo, diseñado pero sin evidencia, ausente.
6. Realice un análisis de brechas específico únicamente sobre las brechas. Nuestra guía de análisis de brechas de ISO 27001 explica el método paso a paso.

Mantenga la matriz como un documento vivo. Debe actualizarse cuando cambie su alcance, sus herramientas o su DdA.

Un ejemplo práctico breve

Tomemos las revisiones de acceso. Realiza una revisión trimestral de acceso a producción en su proveedor de identidad y un revisor da el visto bueno en un ticket.

• SOC 2: respalda CC6.1 a CC6.3 (aprovisionamiento, modificación y revocación de accesos).
• ISO 27001:2022: respalda 5.18 (derechos de acceso) y 5.15 (control de acceso).
• Evidencia: la exportación trimestral y el ticket firmado sirven a ambos auditores.
• Adicional para ISO: la revisión debe estar vinculada a un riesgo del registro y a una línea de su DdA.

Un control, un conjunto de evidencia, dos conjuntos de referencias. Repita esto para cada fila y tendrá la matriz.

Evidencia reutilizable y evidencia que no lo es

La evidencia técnica viaja bien. Los registros, las líneas base de configuración, los informes de análisis de vulnerabilidades, los resultados de pruebas de copias de seguridad, las exportaciones de revisiones de acceso y los tickets de cambio suelen poder servir a ambas auditorías. Esta es la idea que subyace al modelo «auditar una vez, cumplir con varios»: los controles compartidos pueden auditarse para ambos encargos, siempre que los dos se planifiquen conjuntamente.

La evidencia de gobernanza no viaja. La DdA, la declaración de alcance del SGSI, el plan de tratamiento de riesgos, la revisión por la dirección de la Cláusula 9.3 y los informes de auditoría interna son específicos de ISO 27001 y se evalúan de forma independiente. Del mismo modo, la descripción del sistema de SOC 2 y la declaración de la dirección pertenecen al encargo de SOC 2.

Dos advertencias prácticas:

• Las fechas y los períodos difieren. Una ventana de Tipo 2 puede terminar en junio, mientras que su auditoría de seguimiento de ISO se produce en noviembre. La evidencia debe estar vigente para el período de cada auditoría.
• El muestreo difiere. Los auditores de cada régimen eligen sus propias muestras. La recopilación consolidada de evidencia ayuda, pero las cadencias de auditoría y las estructuras de los informes siguen siendo distintas.

¿ISO 27001 sustituye a SOC 2 o viceversa?

No, en ninguna de las dos direcciones. La certificación ISO 27001 no satisface automáticamente SOC 2, porque los objetivos de auditoría y los criterios son diferentes, y SOC 2 requiere una revisión por parte de una firma de CPA. En sentido contrario, un informe SOC 2 no certifica su SGSI.

Los profesionales del sector describen generalmente ambos marcos como complementarios antes que intercambiables: SOC 2 proporciona una garantía detallada y orientada al cliente sobre un sistema de servicio, mientras que ISO 27001 demuestra una capacidad más amplia de gestión de riesgos y del sistema de gestión.

La pregunta práctica es qué solicitan sus compradores. Los clientes empresariales estadounidenses suelen pedir SOC 2. Los compradores internacionales y los de sectores regulados a menudo solicitan ISO 27001. Las startups que venden a compradores norteamericanos pueden empezar con SOC 2, mientras que las empresas de servicios financieros internacionales o reguladas pueden preferir ISO 27001 o ambos marcos. Para un marco de decisión más completo, lea ISO 27001 vs SOC 2: cuál necesita.

Dimensionar el trabajo para cerrar las brechas

La mayoría de los equipos que ya tienen un informe SOC 2 han construido una gran parte de lo que exige ISO 27001. El trabajo restante se divide en bloques predecibles:

Presupueste las cláusulas del SGSI como trabajo nuevo, incluso cuando su infraestructura técnica esté madura. Una evaluación de brechas integrada puede producir una hoja de ruta única, y una verificación de preparación antes de la auditoría formal merece la pena.

Para las empresas SaaS el perfil suele ser el mismo: controles técnicos sólidos, gobernanza débil. Nuestra guía ISO 27001 para empresas SaaS y tecnológicas explica cómo se ve esto en la práctica, y el artículo sobre el calendario de implantación muestra cuánto suele durar cada fase.

Empresas financieras y startups

Las empresas financieras a menudo se enfrentan simultáneamente a la diligencia debida de clientes, reguladores y contrapartes internacionales. Esto favorece disponer de ambos marcos, con el alcance de ISO definido en torno a las líneas de negocio relevantes. Consulte nuestra guía de preparación para la auditoría de empresas financieras.

Las startups deben empezar por el marco que exija el próximo gran cliente, y diseñar los controles de forma que el segundo marco sea una extensión, no un reinicio. Construya el inventario de controles desde el primer día, y la matriz de mapeo costará casi nada más adelante.

Estime el esfuerzo antes de comprometerse

Una vez que conoce las brechas existentes, la pregunta es el coste y el tiempo. Nuestra calculadora de costes de ISO 27001 ofrece una estimación en tiempo real basada en el tamaño de la empresa, el sector y la madurez en seguridad, con supuestos editables y sin necesidad de registro para el primer cálculo. Si primero quiere conocer su situación actual, haga la verificación gratuita de 2 minutos, o realice la evaluación de preparación completa, que puntúa la madurez en los cuatro temas de control del Anexo A. Puede guardar y comparar estimaciones, por ejemplo una para ISO solo y otra para un programa combinado de SOC 2 e ISO. La página de metodología explica cómo se construyen las cifras.

Nuestra perspectiva

Vemos el mismo error repetidamente: los equipos tratan el mapeo como un ejercicio de hoja de cálculo y luego descubren que la hoja de cálculo solo cubría los controles técnicos. El mapeo es el 20% fácil del trabajo. La parte más difícil es aceptar que el SGSI es un sistema de gestión, con propietarios, revisiones y registros, y que ninguna tabla de correspondencias los genera por usted.

Nuestro consejo es mapear pronto, porque eso reduce la parte intimidante del proyecto a una lista definida. Luego, estime esa lista de forma honesta, con supuestos que pueda editar y cuestionar. Un número que no puede rastrear es un número que no puede defender ante su director financiero ni ante su auditor. Por eso construimos la calculadora en torno a supuestos versionados y visibles, y por eso sugerimos comparar escenarios antes de comprometer el presupuesto.

— Martin

Preguntas frecuentes

¿Puedo utilizar un único conjunto de controles para ISO 27001 y SOC 2?

Sí, en la mayoría de los casos. Construya un inventario único de los controles que opera y referencie cada uno a su control del Anexo A y al criterio de SOC 2 correspondiente. Seguirá necesitando registros de gobernanza separados para ISO y una descripción del sistema separada para SOC 2.

¿El mapeo de ISO 27001 con SOC 2 es oficial?

El AICPA publica un mapeo de los Criterios de Servicios de Confianza de 2017 con ISO 27001 en forma de hoja de cálculo descargable. Úselo como punto de partida y adáptelo a su alcance y a la numeración de controles de 2022. Sus auditores decidirán en qué medida confiarán en su propio mapeo.

Si ya tengo un informe SOC 2, ¿cuánto trabajo adicional supone ISO 27001?

Los controles técnicos están en gran medida implementados, por lo que el trabajo nuevo es el SGSI: Cláusulas 4 a 10, la Declaración de Aplicabilidad, el plan de tratamiento de riesgos, una auditoría interna y una revisión por la dirección. Los controles del Anexo A fuera del alcance de su sistema SOC 2 también pueden requerir trabajo. Dimensione esas brechas con un análisis de brechas antes de fijar una fecha.

¿La certificación ISO 27001 significa que puedo prescindir de SOC 2?

No. SOC 2 es un informe de atestación emitido por una firma de CPA, y los clientes que lo soliciten esperarán ese informe. Algunos compradores aceptan cualquiera de los dos, así que compruebe qué requieren sus clientes clave antes de decidir.

Fuentes

• AICPA: Mapeo de los Criterios de Servicios de Confianza de 2017 con ISO 27001
• ISO/IEC JTC 1/SC 27/WG 1: Nota de prácticas de auditoría sobre la DdA
• EY: Atestación integrada SOC e ISO
• BARR Advisory: ISO 27001 vs SOC 2, cómo obtener ambos
• Informe de correspondencia GRACE, SOC 2 con ISO 27001
• Atlant Security: Guía comparativa ISO 27001 vs SOC 2
• Schellman: Sus preguntas sobre ISO 27001 respondidas

Recomendado

• ISO 27001 vs SOC 2: ¿cuál necesita?
• Controles del Anexo A de ISO 27001 explicados
• Declaración de Aplicabilidad de ISO 27001: una guía completa
• Análisis de brechas de ISO 27001: una guía paso a paso