"SOC 2 ou ISO 27001?" é uma pergunta com que todas as empresas de TI se deparam quando entram no mercado internacional. Ambos os referenciais tratam de segurança da informação, ambos são pedidos pelos clientes e ambos custam dinheiro e tempo. Este artigo compara SOC 2 vs ISO 27001 quanto à natureza, geografia, estrutura, custo e prazos, e explica como decidir.
A diferença essencial em duas frases
A ISO 27001 é uma norma internacional para um sistema de gestão de segurança da informação (SGSI). A empresa constrói o sistema, um organismo de certificação acreditado audita-o face à norma e emite um certificado válido por três anos, com auditorias de acompanhamento anuais.
O SOC 2 é um relatório de atestação emitido por uma firma de CPA independente e licenciada nos Estados Unidos, segundo as normas do AICPA. O auditor avalia os controlos da empresa face aos Trust Services Criteria (TSC) e expressa uma opinião num relatório detalhado. Não há certificado; há um relatório que partilha com os clientes.
Comparação lado a lado
| Aspeto | SOC 2 | ISO 27001 |
|---|---|---|
| Natureza | Relatório de atestação do auditor | Certificado de conformidade |
| Emitido por | Firma de CPA licenciada (EUA) | Organismo de certificação acreditado |
| Mercado principal | EUA, Canadá; cada vez mais SaaS a nível global | Europa, Reino Unido, Ásia, setor público |
| Base | 5 critérios TSC; Segurança é obrigatória | Cláusulas 4–10 mais 93 controlos do Anexo A |
| Flexibilidade | A empresa concebe os próprios controlos para cumprir os critérios | Lista estruturada de controlos, aplicabilidade justificada na SoA |
| Resultado entregue | Relatório detalhado (dezenas de páginas) sob NDA | Certificado de uma página, público |
| Validade | Type 1: uma data; Type 2: um período, renovado anualmente | 3 anos com acompanhamento anual |
| Tempo até ao resultado | Type 1: 2–4 meses; Type 2: 6–12 meses | Normalmente 4–8 meses |
| Honorários típicos de auditoria (PME) | Type 1: $8–20k; Type 2: $15–40k | Depende do organismo e da dimensão; normalmente abaixo do SOC 2 Type 2 |
Geografia: quem pede o quê
A regra é simples. Se os seus clientes são empresas norte-americanas, sobretudo grandes empresas, vão pedir o SOC 2; verão a ISO 27001 com bons olhos, mas raramente como substituto. Se os seus clientes são organizações europeias, britânicas ou do setor público, estão habituados à ISO 27001 e nem sempre sabem interpretar um relatório SOC 2. O mercado britânico pede também com frequência o Cyber Essentials.
Para as empresas europeias de software e serviços de TI que vendem no mercado interno e nos EUA, precisar de ambos é a situação típica. É por isso que oferecemos um pacote SOC 2 + ISO 27001 assente numa base comum de controlos: o relatório SOC 2 é emitido pela firma de CPA norte-americana do grupo BALTUM e o certificado ISO 27001 pelo organismo de certificação acreditado do grupo.
Estrutura: critérios versus sistema de gestão
SOC 2
O referencial descreve o que deve ser alcançado (por exemplo, "a entidade restringe o acesso lógico ao sistema a utilizadores autorizados"), mas não como. A empresa concebe os próprios controlos e o auditor avalia se são adequados e se funcionam. Isto oferece flexibilidade, mas exige competência na conceção de controlos. Para mais detalhes, veja Trust Services Criteria explicados.
ISO 27001
A norma exige a construção de um sistema de gestão: contexto da organização, liderança, avaliação de riscos, objetivos, recursos, auditorias internas, revisão pela gestão, melhoria contínua. Acresce o Anexo A, com uma lista de controlos cuja aplicabilidade é justificada na Declaração de Aplicabilidade (Statement of Applicability, SoA). É uma norma mais orientada para processos: testa se consegue gerir a segurança como um sistema, e não apenas se o MFA está ativado.
O que está no relatório versus no certificado
Esta é uma diferença prática significativa para os seus clientes. Um certificado ISO 27001 diz "o sistema está conforme a norma". A equipa de segurança do cliente vê uma página e o âmbito da certificação. Um relatório SOC 2 tem 40–100 páginas de descrição do sistema, listagem de controlos e resultados dos testes de cada controlo. Os clientes norte-americanos valorizam precisamente esse detalhe: decidem por si próprios se eventuais exceções são aceitáveis. Os clientes europeus preferem muitas vezes a simplicidade de um certificado.
Sobreposição: até que ponto um ajuda o outro
A boa notícia é que grande parte dos controlos é comum a ambos. Gestão de acessos, criptografia, cópias de segurança, registo de eventos, gestão de alterações, resposta a incidentes, segurança dos recursos humanos e gestão de fornecedores são necessários tanto para o SOC 2 como para a ISO 27001. Pela nossa experiência, uma empresa que se preparou bem para um dos referenciais cobre a maioria dos requisitos do outro.
As diferenças situam-se sobretudo na "superestrutura":
- A ISO 27001 exige adicionalmente uma metodologia formal de avaliação de riscos, auditorias internas, revisão pela gestão, uma SoA e um programa de melhoria contínua.
- O SOC 2 exige uma descrição detalhada do sistema, a asserção da gestão, controlos específicos de cada critério (por exemplo, monitorização de SLA para a Disponibilidade) e, no Type 2, recolha contínua de evidências ao longo de todo o período.
Quando escolher o SOC 2
- Os seus principais clientes estão nos Estados Unidos ou no Canadá.
- É uma empresa SaaS e o SOC 2 já aparece em questionários de segurança ou contratos.
- Os clientes querem ver os detalhes dos controlos, e não apenas o facto de existir uma certificação.
- Precisa de um primeiro resultado rápido; o Type 1 pode ser alcançado em 2–4 meses.
Quando escolher a ISO 27001
- Os seus principais clientes estão na UE, no Reino Unido, na Suíça, no Médio Oriente ou na Ásia.
- Participa em concursos em que a ISO 27001 é um critério formal de qualificação.
- Precisa de um certificado público que possa exibir no seu website.
- Quer construir uma gestão de riscos sistemática e não apenas um conjunto de controlos.
- Também trata dados pessoais de residentes na UE e está a trabalhar em paralelo no RGPD, ou está abrangido pela NIS2; a abordagem de sistema de gestão da ISO articula-se bem com ambos.
Quando fazer ambos
Se serve ambos os mercados, a preparação simultânea é o caminho mais eficiente. Concebe os controlos uma vez, redige um único conjunto de políticas mapeado para ambos os referenciais, recolhe as evidências uma vez e passa por duas auditorias com emissores diferentes: uma firma de CPA licenciada para o SOC 2 e um organismo de certificação acreditado para a ISO 27001. No grupo BALTUM, são entidades separadas e equipas separadas dos consultores que o prepararam. O custo total da preparação acaba por ser consideravelmente inferior ao de dois projetos separados, e a equipa passa por uma implementação em vez de duas.
A sequência recomendada nesse caso: análise de lacunas face a ambos os referenciais → implementação dos controlos comuns → SOC 2 Type 1 e auditoria de certificação ISO 27001 aproximadamente ao mesmo tempo → período de observação → SOC 2 Type 2.
Uma breve lista de verificação para decidir
- Onde estão os seus clientes e que requisitos já aparecem em contratos e questionários?
- Precisa de um certificado público ou de um relatório detalhado?
- Qual é o horizonte: um primeiro resultado em três meses ou um sistema para vários anos?
- Há orçamento para duas auditorias agora, ou é melhor começar por uma?
Para os fundamentos, veja o que é o SOC 2 e, para a estrutura de custos, leia quanto custa o SOC 2.
Indeciso entre SOC 2 e ISO 27001, ou a planear ambos? Fale-nos do seu mercado, dos seus clientes e da sua postura de segurança atual e recomendaremos o caminho ideal e definiremos o âmbito do trabalho de preparação. Peça uma consulta.