Por Hackanary — Ethical Hackers
Si vendes software o servicios a empresas grandes, tarde o temprano te preguntan: *¿tienen SOC 2? ¿tienen ISO 27001?* Son marcos distintos, pero ambos se apoyan en evidencia técnica, y un **pentest** es de las más pedidas. Aquí va la diferencia y cómo planificar el pentest para cada uno.
Qué es cada uno
- »**ISO/IEC 27001** es una **norma certificable**: tu organización implementa un Sistema de Gestión de Seguridad de la Información (SGSI) y un organismo de certificación acreditado lo audita. El certificado dura tres años, con auditorías de vigilancia anuales.
- »**SOC 2** es un **informe de atestación** emitido por una firma de auditoría (CPA) según los Criterios de Servicios de Confianza del AICPA (seguridad, disponibilidad, confidencialidad, integridad del procesamiento y privacidad). No es un certificado: es un informe sobre tus controles.
Diferencias que importan en la práctica
- »**Origen y mercado:** SOC 2 es muy pedido por clientes de Estados Unidos y multinacionales; ISO 27001 tiene reconocimiento internacional más amplio, incluyendo Chile y Latinoamérica.
- »**Formato:** ISO 27001 produce un certificado; SOC 2, un informe detallado que tu cliente lee.
- »**Tipos:** SOC 2 Tipo 1 evalúa el diseño de los controles en un momento puntual; Tipo 2, su funcionamiento durante un período.
- »**Flexibilidad:** ISO 27001 te hace definir y justificar tus controles (Declaración de Aplicabilidad); SOC 2 se evalúa contra criterios que eliges según el servicio.
¿Cuál necesito?
La respuesta suele estar en tus clientes. Si te piden **SOC 2**, es probable que vendas a empresas de Estados Unidos. Si te piden **ISO 27001**, es común en Latinoamérica, Europa y licitaciones. Muchas empresas terminan con los dos, y por eso conviene planificar un pentest que sirva para ambos.
Qué dicen ambos sobre el pentest
Ninguno nombra el pentest como requisito obligatorio, pero ambos exigen demostrar que gestionas las vulnerabilidades técnicas y que tus controles funcionan:
- »**ISO 27001:2022:** controles A.8.8 (gestión de vulnerabilidades técnicas), A.8.29 (pruebas de seguridad) y A.5.35 (revisión independiente). Detalle en qué controles cubre un pentest.
- »**SOC 2:** criterios de monitoreo (CC4.1) e identificación de vulnerabilidades (CC7.1), con apoyo en control de acceso (CC6) y gestión de cambios (CC8).
En ambos casos, los auditores esperan en la práctica un **pentest anual realizado por un tercero independiente**.
Un solo pentest para los dos marcos
Es posible, si se cumplen tres condiciones: el **alcance** cubre los sistemas de ambos informes, el **informe mapea** los hallazgos a los controles de ISO 27001 y a los criterios de SOC 2, y el pentest es **vigente** para cada auditoría (para SOC 2 Tipo 2, dentro del período evaluado o inmediatamente antes). Así evitas pagar dos veces por lo mismo.
Cómo ayudamos
Hacemos el pentest sobre tu aplicación, APIs y nube, y entregamos el informe mapeado a los marcos que necesites. Revisa nuestro pentest SOC 2, el pentest ISO 27001 y el plan anual con tarifa preferente para clientes recurrentes.
Preguntas frecuentes
¿SOC 2 o ISO 27001: cuál es más difícil?
Depende de tu organización. ISO 27001 exige montar un sistema de gestión completo; SOC 2 puede ser más acotado al servicio, pero el Tipo 2 exige mantener evidencia durante todo un período.
¿Puedo tener los dos?
Sí. Muchas empresas lo hacen y comparten buena parte de la evidencia, incluido el pentest.
¿El pentest de SOC 2 sirve para ISO 27001?
Puede servir si el alcance coincide y el informe se mapea a los controles de ISO 27001.
¿Cada cuánto se repite el pentest?
Lo habitual es una vez al año y tras cambios importantes de tu producto o infraestructura.
¿Te piden SOC 2, ISO 27001 o ambos? Escríbenos por WhatsApp con el alcance y la fecha de tu auditoría y te enviamos propuesta. Desde **25 UF + IVA**, con 2 retests incluidos.