Si tu empresa de tecnología vende a clientes corporativos en México, Latinoamérica o Europa, es muy probable que te pidan ISO/IEC 27001. Si vende a empresas de Estados Unidos, es muy probable que te pidan un informe SOC 2. Y si vende a ambos, tarde o temprano alguien en tu equipo comercial preguntará: ISO 27001 vs SOC 2, ¿cuál necesitamos primero y podemos hacer las dos sin duplicar trabajo?
Esta guía está escrita para CTO, responsables de seguridad, directores de operaciones y fundadores de empresas de software, SaaS, servicios administrados y Fintech en México. Explica la naturaleza jurídica y técnica de cada marco, cómo se auditan, qué evidencia se pide, qué hallazgos son comunes y cómo construir un solo programa de controles que sirva para ambos.
ISO 27001 vs SOC 2: dos instrumentos de naturaleza distinta
La diferencia de fondo no está en los controles, que se traslapan en gran medida, sino en qué tipo de documento obtienes y quién lo emite.
ISO/IEC 27001:2022
- Norma internacional de requisitos para un Sistema de Gestión de Seguridad de la Información (SGSI).
- Resultado: certificado emitido por un organismo de certificación acreditado (ISO/IEC 17021-1 e ISO/IEC 27006-1:2024).
- Vigencia de tres años con auditorías de vigilancia anuales.
- Evalúa que el sistema de gestión cumple los requisitos y es eficaz.
- Certificado público y verificable; el informe de auditoría es confidencial.
SOC 2
- Informe de atestación bajo las normas del AICPA (American Institute of Certified Public Accountants), con base en los Trust Services Criteria (TSC) 2017.
- Resultado: informe con opinión emitido por una firma de contadores públicos facultada para atestaciones bajo normas del AICPA.
- No hay "certificado"; el informe cubre una fecha (Tipo I) o un periodo (Tipo II).
- Evalúa el diseño y, en Tipo II, la eficacia operativa de controles específicos de un sistema.
- Uso restringido: se comparte bajo acuerdo de confidencialidad con clientes y prospectos.
Dicho en términos prácticos: ISO 27001 demuestra que tienes un sistema de gestión que identifica riesgos, selecciona controles y mejora; SOC 2 demuestra, con pruebas sobre muestras, que controles concretos de un sistema operaron como afirmas durante un periodo. Por eso muchos clientes estadounidenses valoran SOC 2 Tipo II: su departamento de riesgo de proveedores lee los resultados de las pruebas y las excepciones, no solo una conclusión.
Marco de referencia de cada uno
ISO/IEC 27001:2022
Cláusulas 4 a 10 con requisitos del sistema de gestión (contexto, liderazgo, planificación, soporte, operación, evaluación y mejora), más el Anexo A con 93 controles en cuatro temas: organizacionales (5.1 a 5.37), de personas (6.1 a 6.8), físicos (7.1 a 7.14) y tecnológicos (8.1 a 8.34). La selección de controles se justifica en la Declaración de Aplicabilidad (§6.1.3 d). La transición desde la edición 2013 concluyó el 31 de octubre de 2025.
SOC 2 y los Trust Services Criteria
Los TSC 2017 (con puntos de enfoque revisados en 2022) se organizan en cinco categorías. Seguridad es obligatoria y se cubre con los Criterios Comunes (CC); las otras cuatro son opcionales según lo que el cliente necesite y lo que tu servicio prometa:
| Categoría | Qué cubre | ¿Obligatoria? |
|---|---|---|
| Seguridad (Criterios Comunes CC1–CC9) | Protección del sistema contra acceso no autorizado, divulgación y daño | Sí |
| Disponibilidad (A1) | Disponibilidad del sistema según compromisos | Opcional |
| Integridad del procesamiento (PI1) | Procesamiento completo, válido, exacto, oportuno y autorizado | Opcional |
| Confidencialidad (C1) | Protección de información designada como confidencial | Opcional |
| Privacidad (P1–P8) | Tratamiento de información personal según compromisos | Opcional |
Los Criterios Comunes integran los 17 principios del marco de control interno COSO 2013 (CC1 a CC5: entorno de control, comunicación e información, evaluación de riesgos, actividades de monitoreo y actividades de control) y añaden criterios específicos de seguridad: accesos lógicos y físicos (CC6), operación de sistemas (CC7), gestión de cambios (CC8) y mitigación de riesgos, incluidos proveedores (CC9).
Requisito normativo: Tipo I y Tipo II no son equivalentes
Un informe SOC 2 Tipo I opina sobre la descripción del sistema y la idoneidad del diseño de los controles a una fecha. Un informe Tipo II añade la eficacia operativa de los controles durante un periodo, con pruebas de muestras y reporte de excepciones. Muchos clientes aceptan un Tipo I como paso inicial, pero exigen el Tipo II en la renovación del contrato.
El marco mexicano no cambia
Ninguno de los dos marcos sustituye obligaciones legales en México. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-03-2025) mantiene el deber de seguridad y la relación responsable–encargado; si operas en servicios financieros, aplican además las disposiciones de las autoridades financieras. En ISO 27001 el puente es el control 5.31 (requisitos legales, estatutarios, reglamentarios y contractuales) y el 5.34 (privacidad); en SOC 2, la categoría de Privacidad y los compromisos del sistema descritos en el informe.
Comparación detallada: alcance, auditoría y resultado
| Aspecto | ISO/IEC 27001:2022 | SOC 2 |
|---|---|---|
| Naturaleza | Certificación de sistema de gestión | Informe de atestación sobre controles |
| Quién emite | Organismo de certificación acreditado | Firma de contadores facultada bajo normas del AICPA |
| Marco | Cláusulas 4–10 + Anexo A (93 controles) | TSC 2017 (Seguridad obligatoria + categorías opcionales) y criterios de descripción DC 200 |
| Quién define los controles | La organización, con base en su apreciación de riesgos y el SoA | La organización, que debe cubrir los criterios seleccionados |
| Alcance | SGSI: procesos, sitios y activos definidos en §4.3 | Un sistema o servicio descrito en el informe |
| Periodo | Ciclo de 3 años con vigilancias anuales | Tipo I: una fecha. Tipo II: periodo de observación definido con el auditor |
| Resultado | Certificado público | Informe confidencial con opinión, descripción del sistema y, en Tipo II, pruebas y excepciones |
| Hallazgos | No conformidades mayores y menores | Excepciones en pruebas; la opinión puede ser sin salvedades, con salvedades, adversa o abstención |
| Proveedores de servicio | Controles 5.19 a 5.23 | Método inclusivo o de exclusión (carve-out) con controles complementarios de subservicio (CSOC) |
| Responsabilidades del cliente | Se documentan en acuerdos y en la responsabilidad compartida | Controles complementarios de la entidad usuaria (CUEC) listados en el informe |
| Mercado donde pesa más | Internacional, México, Latinoamérica, Europa | Estados Unidos y empresas con prácticas de riesgo de proveedores de ese país |
Cuidado con el lenguaje comercial
Decir "estamos certificados en SOC 2" es técnicamente incorrecto y algunos equipos de compras lo detectan de inmediato. Lo correcto es "contamos con un informe SOC 2 Tipo II que cubre el periodo de tal a tal fecha". De igual forma, un certificado ISO 27001 debe citarse con su alcance, organismo emisor y vigencia.
Requisito → evidencia que pide cada auditor
La buena noticia es que gran parte de la evidencia es la misma. La diferencia está en el muestreo: el auditor de SOC 2 Tipo II suele pedir poblaciones completas (por ejemplo, todas las altas del periodo) y seleccionar muestras para probar cada control.
| Tema | ISO 27001:2022 | SOC 2 (TSC) | Evidencia que sirve para ambos |
|---|---|---|---|
| Gobierno y liderazgo | §5.1, §5.3 | CC1.1–CC1.5 | Organigrama, roles de seguridad, actas de comité, código de conducta firmado |
| Evaluación de riesgos | §6.1.2, §8.2 | CC3.1–CC3.4 | Metodología y matriz de riesgos actualizada, incluido riesgo de fraude |
| Políticas | §5.2, Anexo A 5.1 | CC5.3 | Políticas aprobadas con revisión anual y acuse del personal |
| Concientización | §7.3, Anexo A 6.3 | CC2.2 | Registros de capacitación anual y de inducción |
| Altas, bajas y revisión de accesos | Anexo A 5.15–5.18 | CC6.1–CC6.3 | Población de altas y bajas del periodo con aprobaciones y fechas de revocación; revisiones trimestrales |
| Autenticación | Anexo A 8.5 | CC6.1 | Configuración de factor múltiple y políticas de contraseñas |
| Monitoreo y respuesta | Anexo A 8.15, 8.16, 5.24–5.28 | CC7.2–CC7.5 | Alertas, tickets de incidentes, lecciones aprendidas |
| Gestión de cambios | Anexo A 8.32 | CC8.1 | Población de cambios a producción con aprobación y pruebas |
| Proveedores | Anexo A 5.19–5.22 | CC9.2 | Inventario de proveedores, evaluación anual, informes SOC o certificados vigentes |
| Continuidad y respaldos | Anexo A 5.30, 8.13 | A1.2–A1.3 | Pruebas de restauración y de recuperación documentadas |
| Auditoría y monitoreo del control | §9.2, §9.3 | CC4.1–CC4.2 | Auditoría interna, revisión por la dirección, seguimiento de deficiencias |
Cómo construir un programa único de controles paso a paso
La estrategia más eficiente no es elegir uno y luego "empezar de cero" con el otro, sino diseñar desde el inicio un marco de controles unificado mapeado a ambos referenciales.
- Define qué piden tus clientes y en qué plazo. Revisa contratos, solicitudes de propuesta y cuestionarios. Si los clientes que representan la mayor parte de tus ingresos piden SOC 2, prioriza ese informe; si piden ISO 27001 o son internacionales, prioriza la certificación.
- Delimita el sistema o alcance. En ISO 27001, el alcance del SGSI (§4.3); en SOC 2, el sistema que se describe en el informe. Haz que coincidan siempre que puedas para no mantener dos fronteras distintas.
- Construye la apreciación de riesgos una sola vez. Satisface §6.1.2 de ISO 27001 y CC3 de los TSC. Incluye explícitamente el riesgo de fraude, que CC3.3 pide considerar.
- Crea una matriz de controles unificada. Cada control interno con su descripción, dueño, frecuencia, evidencia y mapeo al Anexo A y a los criterios TSC. El AICPA publica un mapeo de los TSC a ISO/IEC 27001 que sirve de punto de partida.
- Automatiza la evidencia y conserva poblaciones completas. Para SOC 2 Tipo II, el auditor pedirá listados completos del periodo; asegúrate de que tus herramientas los conserven.
- Ejecuta una auditoría de preparación. Una evaluación de preparación (readiness) para SOC 2 y una auditoría interna para ISO 27001 pueden realizarse en conjunto con el mismo marco.
- Planifica las auditorías externas. ISO 27001: etapas 1 y 2 con el organismo certificador. SOC 2: Tipo I si necesitas un informe rápido, y periodo de observación para el Tipo II.
- Mantén un solo calendario de cumplimiento. Revisiones de acceso, pruebas de restauración, capacitación y evaluación de proveedores sirven a ambos marcos si se ejecutan y documentan una sola vez.
Ejemplo resuelto: decisión y mapeo en una empresa SaaS mexicana
Ejemplo aplicado: "Nómina Norte", 65 personas, Monterrey
Contexto. Empresa ficticia con una plataforma SaaS de nómina y recursos humanos. Clientes: corporativos mexicanos y, desde hace un año, filiales en México de empresas estadounidenses. Dos de esas filiales indican que su corporativo exige SOC 2 Tipo II para renovar; tres corporativos mexicanos piden ISO/IEC 27001.
Decisión. La dirección decidió implementar un marco unificado: primero la certificación ISO/IEC 27001:2022, porque la exigen más clientes actuales, y en paralelo arrancar el periodo de observación de SOC 2 (categorías Seguridad y Confidencialidad) en cuanto los controles estuvieran operando.
Extracto de la matriz unificada.
| Control interno | Frecuencia | ISO 27001 Anexo A | TSC | Evidencia |
|---|---|---|---|---|
| CTRL-01 Revisión trimestral de accesos a producción por el dueño del sistema | Trimestral | 5.18, 8.2 | CC6.2, CC6.3 | Reporte firmado con altas, bajas y cambios |
| CTRL-02 Revocación de accesos en ≤ 24 h tras la baja | Por evento | 5.18, 6.5 | CC6.2 | Población de bajas con fecha y hora de revocación |
| CTRL-03 Todo cambio a producción requiere revisión de un segundo ingeniero y pipeline exitoso | Por evento | 8.32, 8.25 | CC8.1 | Población de despliegues con pull request aprobado |
| CTRL-04 Prueba semestral de restauración de base de datos | Semestral | 8.13, 5.30 | A1.3 (si se incluye Disponibilidad), CC7.5 | Acta de prueba con tiempos |
| CTRL-05 Evaluación anual de proveedores críticos | Anual | 5.19, 5.22 | CC9.2 | Expediente por proveedor con informe SOC o certificado vigente |
| CTRL-06 Cifrado de datos confidenciales en reposo y en tránsito | Continuo | 8.24 | C1.1, CC6.1, CC6.7 | Configuración de servicios y certificados TLS |
Muestreo esperado en SOC 2 Tipo II. Para CTRL-02, si en el periodo hubo 18 bajas, el auditor puede pedir la población completa y probar una muestra; una baja con acceso revocado a las 72 horas se reportaría como excepción con la respuesta de la dirección. Para ISO 27001, el mismo caso sería evaluado por el auditor dentro del funcionamiento del control y del proceso de acciones correctivas (§10.2).
Resultado. 74 controles internos cubren los controles aplicables del Anexo A y los criterios de Seguridad y Confidencialidad. Las cifras son ilustrativas: el número de controles depende de tu sistema y de tus riesgos.
Indicadores para operar ambos marcos
| Indicador | Fórmula | Criterio sugerido (ajústalo) |
|---|---|---|
| Controles ejecutados en tiempo | Ejecuciones a tiempo ÷ ejecuciones programadas | 100 % |
| Excepciones de control detectadas internamente | Número por trimestre | Tendencia descendente; 100 % con acción |
| Evidencia completa por control | Controles con evidencia conservada ÷ controles | 100 % |
| Revocación oportuna de accesos | Bajas revocadas ≤ 24 h ÷ bajas | 100 % |
| Cambios con aprobación | Despliegues con revisión registrada ÷ despliegues | 100 % |
| Proveedores críticos con informe vigente | Proveedores con SOC 2 o certificado vigente ÷ críticos | 100 % o riesgo aceptado formalmente |
Hallazgos típicos en ISO 27001 y excepciones en SOC 2
| Hallazgo | Referencia | Corrección y acción correctiva |
|---|---|---|
| Revisión de accesos trimestral omitida en un trimestre | ISO 5.18 · TSC CC6.2 | Ejecutar revisión; automatizar recordatorios y dueño suplente |
| Bajas con accesos activos después del plazo definido | ISO 5.18, 6.5 · TSC CC6.2 | Integrar RR. HH. con el proveedor de identidad; conciliación mensual |
| Despliegues de emergencia sin aprobación posterior | ISO 8.32 · TSC CC8.1 | Procedimiento de cambio de emergencia con revisión retrospectiva |
| Evaluación de riesgos sin consideración de fraude | TSC CC3.3 · ISO §6.1.2 | Incluir escenarios de fraude interno y externo |
| Descripción del sistema SOC 2 desalineada con la arquitectura real | Criterios de descripción DC 200 | Actualizar la descripción y validar con ingeniería antes del periodo |
| CUEC no comunicados a los clientes | Informe SOC 2 · ISO 5.20 | Incluir responsabilidades del cliente en contratos y documentación |
| SoA que no refleja controles reales | ISO §6.1.3 d) | Alinear SoA con la matriz unificada |
| Población de evidencia incompleta por retención corta de bitácoras | ISO 8.15 · TSC CC7.2 | Definir retención mínima que cubra el periodo de observación |
Checklist para decidir y prepararte
- Requisitos de clientes clasificados por marco solicitado, plazo y peso en ingresos.
- Alcance del SGSI y sistema de SOC 2 alineados.
- Categorías TSC seleccionadas según compromisos con clientes (Seguridad siempre).
- Apreciación de riesgos única, incluido el riesgo de fraude.
- Matriz de controles unificada con dueño, frecuencia, evidencia y mapeo a Anexo A y TSC.
- SoA coherente con la matriz (§6.1.3 d).
- Retención de bitácoras y evidencia suficiente para el periodo de observación.
- Responsabilidades del cliente (CUEC) y de subproveedores (CSOC) identificadas.
- Evaluación de preparación o auditoría interna realizada antes de las auditorías externas.
- Calendario único de cumplimiento con responsables.
- Lenguaje comercial correcto: "certificado ISO 27001" e "informe SOC 2 Tipo II".
Si eres una empresa joven, revisa la guía rápida de ISO 27001 para startups y SaaS; si desarrollas software, la de ISO 27001 para empresas de software; y para una visión general, ISO 27001 para empresas. Más contexto en las páginas de ISO 27001 y de tecnología, SaaS y Fintech.
Cómo lo abordamos en Quality College
Iniciamos con un diagnóstico que revisa los requisitos de tus clientes, tu arquitectura y tus controles actuales contra ISO/IEC 27001:2022 y los Trust Services Criteria, y diseñamos un marco de controles unificado que evita duplicar trabajo. Acompañamos la implementación, ejecutamos la auditoría interna del SGSI y la evaluación de preparación de controles, y te acompañamos en la certificación ISO 27001 frente al organismo acreditado que elijas. El informe SOC 2 lo emite una firma de contadores facultada bajo normas del AICPA; te ayudamos a llegar preparado. Los proyectos típicos de ISO 27001 van de 8 a 16 semanas según alcance y madurez.
Usamos Qualitix Bot®, nuestra IA para documentación, para generar borradores de políticas, matrices de controles y SoA a partir de tu contexto, siempre revisados por un consultor; e ISO Track®, nuestro SaaS, para gestionar controles, evidencias, auditorías y acciones correctivas. Hemos acompañado a más de 150 organizaciones en su certificación desde 2018 y ofrecemos garantía contractual de certificación para ISO 27001.