SOC 2 é uma certificação?

Não é bem uma certificação: é um relatório assinado por uma firma de auditoria, não um certificado. Mas o mercado costuma chamar de 'certificação SOC 2', e o preparo é o mesmo de qualquer auditoria: organizar os controles e juntar as provas. Se o seu cliente pede 'a certificação SOC 2', ele quer o relatório, em geral o Tipo II. O nome é do dia a dia; o que você entrega é o relatório.

Se eu tenho ISO 27001, consigo o SOC 2 mais rápido?

Sim. Como os cuidados são quase os mesmos, quem já mantém a ISO 27001 chega ao SOC 2 com a maior parte da prova pronta. O que muda é a forma: o SOC 2 separa os controles pelos temas que você escolheu e pede o período de observação do Tipo II. É um reaproveitamento sobre uma base madura, não um começo do zero, e vale ao contrário também.

Tipo I ou Tipo II, qual o meu cliente quer?

Quase sempre o Tipo II. O Tipo I mostra que os controles estavam bem montados num dia; o Tipo II mostra que eles funcionaram ao longo de um período, em geral de 3 a 12 meses, e é o que o cliente americano de fato valoriza. O Tipo I costuma ser um passo intermediário: mostra progresso enquanto o período do Tipo II corre.

Qual escolher se eu vendo para os EUA e para a Europa?

As duas, num esforço combinado. Nos Estados Unidos, o cliente pede SOC 2 pelo nome; na Europa e na Ásia, a ISO 27001 é a moeda reconhecida, comum em licitações e cadeias de fornecimento. Como os cuidados são quase os mesmos, você organiza uma vez e usa a prova para o certificado e para o relatório, sem manter dois projetos separados.

Segurança da informação

SOC 2 vs ISO 27001

As duas provam a mesma coisa, que a sua segurança da informação é séria e auditada, mas em formatos e mercados diferentes. O SOC 2 é um relatório assinado por uma firma de auditoria, o mais pedido pelos clientes dos Estados Unidos. A ISO/IEC 27001 é uma certificação internacional, reconhecida na Europa, na Ásia e no Brasil. Os cuidados de segurança são quase os mesmos nas duas, então quem faz uma chega perto da outra.

Ver preparação para SOC 2 Ir para a comparação

Em resumo

A ISO 27001 é uma certificação internacional (você passa ou não passa); o SOC 2 é um relatório com a opinião de um auditor.
O SOC 2 é o que o cliente americano pede pelo nome; a ISO 27001 é a moeda global, forte na Europa e na Ásia.
Os cuidados de segurança são quase os mesmos, então quem faz uma aproveita a maior parte da prova da outra.
Muitas empresas fazem as duas: a ISO 27001 pela organização e pelo alcance, o SOC 2 para fechar contratos nos Estados Unidos.

Lado a lado

O que separa um relatório de uma certificação

O que comparar	SOC 2	ISO/IEC 27001
O que é	Um relatório sobre os seus controles, assinado por uma firma de auditoria.	Uma certificação de segurança da informação.
De onde vem	Dos Estados Unidos (AICPA). É o mais usado no mercado americano.	Internacional (ISO/IEC). É o mais usado na Europa, na Ásia e na América Latina.
O que você entrega	Um relatório detalhado, com a descrição dos controles e a opinião do auditor, quase sempre entregue sob sigilo.	Um certificado público de uma página, que qualquer um pode conferir.
O que entra no escopo	Os temas que você escolhe: Segurança (obrigatória) e, se quiser, Disponibilidade, Integridade, Confidencialidade e Privacidade.	O escopo que você define, dizendo quais dos 93 controles se aplicam à sua empresa.
Tipos	Tipo I (fotografa os controles num dia) ou Tipo II (mostra que eles funcionaram ao longo de um período, em geral de 3 a 12 meses).	Uma certificação só, com visitas de acompanhamento todo ano.
Quem emite	Uma firma de auditoria (CPA).	Uma entidade de certificação credenciada.
Onde foca	Se os controles ligados aos temas que você escolheu funcionam de verdade.	Numa organização completa da segurança: risco, responsáveis e melhoria contínua, além dos controles.
Quanto tempo vale	Cobre um dia (Tipo I) ou um período (Tipo II); costuma ser refeito todo ano.	O certificado vale 3 anos, com visitas de acompanhamento todo ano.

SOC 2 e ISO 27001 compartilham a maior parte dos controles (controle de acesso, gestão de mudança, resposta a incidentes, gestão de fornecedores), e é por isso que uma vira atalho para a outra.

O relatório que os EUA pedem

SOC 2

É o padrão que o cliente americano conhece pelo nome, principalmente diante de empresas de software e de serviços. Uma firma de auditoria olha os seus controles e emite um relatório: o Tipo I descreve como os controles estão num dia; o Tipo II, mais valorizado, mostra que eles funcionaram ao longo de um período. É um documento denso, entregue sob sigilo, e não um selo público.

O mais pedido pelos clientes dos Estados Unidos
O Tipo II mostra que os controles funcionaram ao longo do tempo
O escopo é montado pelos temas que você escolhe
Um relatório detalhado, quase sempre entregue sob sigilo

A certificação global

ISO/IEC 27001

É a moeda internacional da segurança da informação: um certificado reconhecido na Europa, na Ásia e no Brasil, e cobrado em muitas licitações e cadeias de fornecimento. Vai além dos controles, porque pede uma organização completa da segurança, com análise de risco, o que aplica e o que não aplica, auditoria interna e revisão pela direção. O resultado é público e fácil de mostrar para qualquer parte interessada.

Certificação reconhecida no mundo todo
Pede uma organização completa da segurança, não só controles
Certificado público, que qualquer um pode conferir
Comum em licitações e em exigências de cadeia de fornecimento

Como se completam

Uma base de cuidados, dois jeitos de provar

SOC 2 e ISO 27001 cobrem quase os mesmos controles: controle de acesso, gestão de mudança, resposta a incidentes, gestão de fornecedores e continuidade. A diferença está na embalagem. A ISO 27001 embrulha tudo numa organização certificável e num certificado público; o SOC 2 embrulha num relatório, com a opinião de um auditor sobre os temas que você escolheu. Por isso quem já tem uma chega perto da outra: a prova é quase a mesma, muda o jeito de apresentar. Dá até para fazer as duas avaliações num esforço combinado.

A base de cuidados de segurança serve às duas provas
A ISO 27001 acrescenta a organização completa (risco, escopo, auditoria interna)
O SOC 2 acrescenta a opinião do auditor sobre o período avaliado

Qual é o seu caso

Por onde começar

Os seus clientes-alvo estão nos Estados Unidos

Comece pelo SOC 2

É o que o cliente americano pede pelo nome, muitas vezes já na hora da compra. Mire no Tipo II, que é o que fecha contrato; o Tipo I serve como passo intermediário.

Você vende para a Europa, a Ásia ou o setor público

Vá de ISO 27001

É a certificação que licitações e grandes empresas reconhecem no mundo todo. E vira a base que encurta o SOC 2 quando um cliente americano pedir.

Você vende para os dois mundos

As duas, num esforço combinado

O caminho mais eficiente. Você organiza a segurança uma vez e usa a mesma prova para o certificado ISO e para o relatório SOC 2, sem repetir o trabalho.

Números que importam

temas do SOC 2 (Segurança é obrigatória)

3 a 12 meses

período que um SOC 2 Tipo II costuma cobrir

93 controles

na versão de 2022 da ISO/IEC 27001

Como a DM11 resolve

Preparação para SOC 2 e certificação ISO 27001, com a DM11

A gente organiza a segurança uma vez e usa nas duas frentes: a certificação ISO 27001, para o mercado internacional, e o relatório SOC 2 Tipo II, para o cliente americano, com um esforço só de prova.

A mesma base serve para o cliente americano e para o europeu, sem trabalho em dobro
Você entra na auditoria já preparado, com os controles e as provas no lugar
A gente cuida da papelada e da rotina; a sua equipe segue no produto
Você fecha mais contratos: a prova de segurança para de travar a venda

Conhecer a preparação para SOC 2

Dúvidas frequentes

O que perguntam antes de decidir

Respostas apoiadas nos critérios do SOC 2 (AICPA) e na ISO/IEC 27001:2022.

Não, mas se parecem muito. As duas provam que a sua segurança é auditada, e compartilham a maior parte dos cuidados. A diferença é o formato: a ISO 27001 é uma certificação (você passa ou não passa) com um certificado público; o SOC 2 é um relatório, com a opinião de um auditor sobre os controles, quase sempre entregue sob sigilo. Uma é um selo; a outra, um documento detalhado.

Mais dúvidas? Fale com a DM11

Descubra qual prova o seu cliente pede, e o caminho mais curto até ela

Uma conversa curta mostra se o seu mercado pede SOC 2, ISO 27001 ou as duas, e quanto você já tem de caminho andado. Sem compromisso.

Falar com um especialista Conhecer a preparação para SOC 2

SOC 2 vs ISO 27001

O que comparar

SOC 2

ISO/IEC 27001

O que é

Um relatório sobre os seus controles, assinado por uma firma de auditoria.

Uma certificação de segurança da informação.

De onde vem

Dos Estados Unidos (AICPA). É o mais usado no mercado americano.

Internacional (ISO/IEC). É o mais usado na Europa, na Ásia e na América Latina.

O que você entrega

Um relatório detalhado, com a descrição dos controles e a opinião do auditor, quase sempre entregue sob sigilo.

Um certificado público de uma página, que qualquer um pode conferir.

O que entra no escopo

Os temas que você escolhe: Segurança (obrigatória) e, se quiser, Disponibilidade, Integridade, Confidencialidade e Privacidade.

O escopo que você define, dizendo quais dos 93 controles se aplicam à sua empresa.

Tipos

Tipo I (fotografa os controles num dia) ou Tipo II (mostra que eles funcionaram ao longo de um período, em geral de 3 a 12 meses).

Uma certificação só, com visitas de acompanhamento todo ano.

Quem emite

Uma firma de auditoria (CPA).

Uma entidade de certificação credenciada.

Onde foca

Se os controles ligados aos temas que você escolheu funcionam de verdade.

Numa organização completa da segurança: risco, responsáveis e melhoria contínua, além dos controles.

Quanto tempo vale

Cobre um dia (Tipo I) ou um período (Tipo II); costuma ser refeito todo ano.

O certificado vale 3 anos, com visitas de acompanhamento todo ano.

SOC 2

O mais pedido pelos clientes dos Estados Unidos

O Tipo II mostra que os controles funcionaram ao longo do tempo

O escopo é montado pelos temas que você escolhe

Um relatório detalhado, quase sempre entregue sob sigilo

ISO/IEC 27001

Certificação reconhecida no mundo todo

Pede uma organização completa da segurança, não só controles

Certificado público, que qualquer um pode conferir

Comum em licitações e em exigências de cadeia de fornecimento

Uma base de cuidados, dois jeitos de provar

A base de cuidados de segurança serve às duas provas

A ISO 27001 acrescenta a organização completa (risco, escopo, auditoria interna)

O SOC 2 acrescenta a opinião do auditor sobre o período avaliado

Preparação para SOC 2 e certificação ISO 27001, com a DM11

A mesma base serve para o cliente americano e para o europeu, sem trabalho em dobro

Você entra na auditoria já preparado, com os controles e as provas no lugar

A gente cuida da papelada e da rotina; a sua equipe segue no produto

Você fecha mais contratos: a prova de segurança para de travar a venda