ISO 27001 vs. SOC 2: Qual a Diferença (e Precisa das Duas)?

Se vende software ou serviços a outras empresas, já lhe devem ter perguntado uma destas duas coisas: "Têm certificação ISO 27001?" ou "Podem enviar-nos o vosso relatório SOC 2?" Cobrem terreno semelhante, mas não são a mesma coisa, e tratá-las como equivalentes cria problemas reais durante a due diligence.

A ISO 27001 é uma certificação

A ISO/IEC 27001 é uma norma internacional para um Sistema de Gestão de Segurança da Informação (SGSI). Define um conjunto de controlos e, mais importante, um processo de gestão: avaliação de risco, planos de tratamento, auditorias internas, revisão pela gestão e melhoria contínua. Uma entidade certificadora acreditada audita a organização face à norma e, se for aprovada, emite um certificado válido por três anos, com auditorias de acompanhamento anuais entre certificações.

Por ser uma certificação, o resultado é binário: ou tem um certificado ISO 27001 válido, ou não tem. Compradores na Europa, e cada vez mais no Médio Oriente e na Ásia, tendem a pedi-la por defeito.

A SOC 2 é um relatório, não um certificado

A SOC 2 vem do AICPA (o organismo norte-americano que regula os contabilistas certificados) e avalia os controlos face a cinco Critérios de Serviços de Confiança: segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade. Apenas a segurança é obrigatória; escolhe-se quais os restantes critérios que se aplicam ao serviço.

Em vez de um certificado, uma firma de auditoria independente produz um relatório. Um relatório Tipo I avalia se os controlos estão adequadamente desenhados num único momento. Um relatório Tipo II, o que a maioria dos compradores realmente pede, avalia se esses controlos funcionaram eficazmente durante um período, normalmente entre 3 e 12 meses. Os relatórios SOC 2 são o padrão de mercado nos Estados Unidos, especialmente para empresas de SaaS que vendem a outras empresas de SaaS.

Onde se sobrepõem, e onde não

Ambas as normas preocupam-se com as mesmas questões de fundo: controlo de acessos, gestão de mudanças, resposta a incidentes, gestão de fornecedores, encriptação. Se já construiu controlos para uma, a maior parte do trabalho transfere-se para a outra; é exactamente por isso que o mapeamento de controlos entre normas importa, em vez de gerir dois programas de compliance desligados um do outro.

Onde diferem na prática:

• Geografia e expectativa do comprador. A ISO 27001 domina na Europa; a SOC 2 domina na América do Norte. Vendendo em ambos os mercados, é provável que lhe peçam as duas eventualmente.
• Formato. Um certificado é um sinal sim/não que uma equipa de compras verifica rapidamente. Um relatório SOC 2 é um documento longo com uma opinião de auditoria que uma equipa de segurança ou jurídica lê de facto.
• Flexibilidade de âmbito. Os critérios opcionais da SOC 2 permitem ajustar o âmbito ao que realmente se oferece. A Declaração de Aplicabilidade da ISO 27001 faz algo semelhante, mas a certificação em si é tudo ou nada face à norma.

Precisa das duas?

Se vende internacionalmente, ou se a equipa comercial perde negócios por "precisamos de ver um certificado" de um lado do Atlântico e "enviem-nos a vossa SOC 2" do outro, a resposta é normalmente sim, eventualmente. A boa notícia é que um controlo mapeado uma vez face a um referencial partilhado, evidência recolhida uma vez, uma auditoria interna feita uma vez, pode satisfazer as duas, desde que o sistema de gestão esteja preparado desde o início para acompanhar mais do que uma norma, em vez de se acrescentar uma segunda mais tarde como um projeto à parte.