ISO 27001 y SOC 2 certifican cosas distintas y no se sustituyen. ISO/IEC 27001 es una certificación internacional que un organismo acreditado otorga sobre el sistema de gestión de seguridad de la información de una empresa. SOC 2 es un reporte de atestiguamiento que un despacho de contadores certificados elabora sobre los controles de un proveedor de servicios.
El director general de una empresa mexicana de manufactura que exporta a Estados Unidos recibe, antes de renovar el contrato con su cliente, un correo del equipo de compras: piden evidencia de que su información está protegida bajo un estándar reconocido. El correo menciona SOC 2, y el director solo conoce ISO 27001 por las licitaciones de nearshoring en México. Ninguna de las dos normas sustituye a la otra: la respuesta depende de quién exige el estándar, desde qué país opera ese cliente y qué tipo de servicio le presta la empresa mexicana.
En resumen
- ISO 27001 es una certificación internacional emitida por un organismo acreditado; SOC 2 es un reporte de atestiguamiento emitido por un despacho de contadores públicos certificados en Estados Unidos, bajo los estándares del AICPA.
- ISO 27001 se exige más en licitaciones, cadenas de suministro globales y clientes mexicanos o europeos; SOC 2 lo exige casi siempre un cliente estadounidense de software o de servicios en la nube.
- México lidera América Latina en certificados ISO/IEC 27001 vigentes, con 475 certificados según el ISO Survey 2024, por encima de Brasil y Colombia.
- Una empresa que vende a varios mercados a la vez puede necesitar las dos, y empezar por ISO 27001 no se desperdicia si más adelante necesita SOC 2.
¿Qué es ISO 27001 y quién lo certifica?
ISO/IEC 27001:2022 es la norma internacional vigente para sistemas de gestión de seguridad de la información: una estructura de gobierno, riesgo y cumplimiento que se sostiene en el tiempo, no una carpeta de políticas que nadie vuelve a abrir. La otorga un organismo de certificación acreditado, después de una auditoría externa sobre políticas, riesgos, controles y evidencia de que esos controles operan en la práctica, no solo en un documento. El certificado tiene una vigencia de tres años, con auditorías de seguimiento cada año para confirmar que el sistema se sigue sosteniendo. Ya escribí en detalle sobre qué cambió con la versión 2022 de la norma para quien quiera profundizar antes de decidir.
Sentelius no certifica: la certificación la emite la casa certificadora. El trabajo de una consultora es dejar a la empresa lista para esa auditoría, con el sistema de gestión implementado y la evidencia en orden.
¿Qué es SOC 2, y por qué no es correcto decir "estamos certificados en SOC 2"?
SOC 2 no es una certificación. Es un examen que realiza un despacho de contadores públicos certificados (CPA) en Estados Unidos, siguiendo los estándares del American Institute of Certified Public Accountants (AICPA) y sus Trust Services Criteria. El resultado es un reporte con la opinión profesional del despacho sobre los controles de la empresa, no un certificado ni una insignia que una entidad emisora respalde.
Un reporte SOC 2 Tipo I evalúa el diseño de los controles en un momento específico. Un reporte SOC 2 Tipo II evalúa si esos controles operaron de forma efectiva durante un periodo de observación, casi siempre de varios meses. No existe un organismo que "certifique en SOC 2": existe el reporte, y la empresa lo comparte con quien se lo pidió.
¿Por qué mi cliente en Estados Unidos pide SOC 2 y mi cliente mexicano pide ISO 27001?
Cada estándar nació para responder a una audiencia distinta. SOC 2 se desarrolló en Estados Unidos y ahí concentra su reconocimiento, sobre todo entre empresas de software, de servicios en la nube y de tecnología que necesitan mostrarle a sus propios clientes cómo protegen los datos que procesan.
ISO 27001 tiene reconocimiento internacional y es la referencia que piden con más frecuencia los gobiernos, las licitaciones públicas y las cadenas de suministro globales, incluida la de nearshoring en México. Si tu empresa exporta a Estados Unidos, es probable que el cliente pida SOC 2. Si tu empresa participa en una licitación mexicana, en una cadena de suministro europea o en un proceso de gobierno, es más probable que pida ISO 27001.
No debe confundirse con SOC as a Service, un servicio de monitoreo de seguridad operado desde un Centro de Operaciones de Seguridad. Comparte la sigla SOC, pero no tiene relación con el reporte de atestiguamiento del que habla este artículo.
¿Qué tan extendido está ISO 27001 en México?
Más de lo que la mayoría de las direcciones generales asume. Según la infografía del ISO Survey 2024, con datos de IAF CertSearch, publicada por Global Standards, México tiene 475 certificados ISO/IEC 27001 vigentes, el primer lugar en América Latina, por encima de Brasil (373 certificados) y Colombia (282).
El mismo reporte muestra que la adopción se aceleró en todo el mundo: los certificados ISO/IEC 27001 vigentes pasaron de 47,291 en 2023 a 96,709 en 2024, un crecimiento de 104% en un año. Una empresa mexicana que hoy compite por un contrato de nearshoring o por una licitación ya no compite contra pocas empresas certificadas: compite contra una cantidad que se duplicó en doce meses.
¿Puedo tener ISO 27001 y SOC 2 al mismo tiempo, o me conviene empezar por una?
Se puede tener las dos, y no es trabajo duplicado desde cero. Buena parte de los controles de ISO 27001 y de los Trust Services Criteria de SOC 2 se traslapan: gestión de accesos, respuesta a incidentes, gestión de proveedores y continuidad operativa aparecen en ambos marcos, aunque cada uno los documente distinto.
Para una empresa mexicana que exporta a Estados Unidos y también compite por contratos que exigen evidencia internacional, empezar por ISO 27001 construye la base del sistema de gestión: políticas, riesgos, controles y evidencia documentada. Esa base no se desperdicia si más adelante un cliente estadounidense pide además un reporte SOC 2: se traduce, no se rehace.
¿Certia y Sentelius ayudan a obtener un reporte SOC 2?
No, y conviene decirlo con la misma franqueza con la que se dice todo lo demás. Un reporte SOC 2 lo puede emitir únicamente un despacho de contadores públicos certificados con licencia para ejercer en Estados Unidos, porque es un examen de atestiguamiento bajo estándares del AICPA, no una certificación de un sistema de gestión.
Certia y el acompañamiento de Sentelius trabajan sobre ISO/IEC 27001, ISO/IEC 42001, ISO 9001 e ISO/IEC 20000-1: Certia también acompaña la transición a ISO 9001:2026 para quien sostiene varias normas a la vez. Si tu empresa necesita SOC 2, ese trabajo lo hace un despacho contable estadounidense. Lo que sí resuelve Sentelius es dejar tu sistema de seguridad de la información alineado a ISO 27001, con controles y evidencia que ese despacho va a reconocer y que reducen lo que le falta por revisar cuando llegue ese examen.
| ISO/IEC 27001 | SOC 2 | |
|---|---|---|
| Qué es | Certificación internacional de un sistema de gestión de seguridad de la información | Reporte de atestiguamiento sobre los controles de un servicio específico |
| Quién lo emite | Un organismo de certificación acreditado, tras una auditoría externa | Un despacho de contadores públicos certificados, bajo los estándares del AICPA |
| Qué evalúa | El sistema de gestión completo: políticas, riesgos, controles y su operación continua | Los controles de un servicio frente a los Trust Services Criteria del AICPA |
| Vigencia | Certificado válido tres años, con auditorías de seguimiento anuales | El periodo que cubre el reporte, con un periodo de observación en un reporte Tipo II |
| Reconocimiento | Internacional: gobierno, licitaciones y cadenas de suministro globales | Concentrado en Estados Unidos, entre proveedores de software y de servicios en la nube |
| Quién lo exige con más frecuencia | Clientes mexicanos, europeos y licitaciones que piden evidencia de un sistema de gestión | Clientes estadounidenses que contratan un servicio de software o de nube |
Preguntas frecuentes
¿Qué diferencia hay entre ISO 27001 y SOC 2?
ISO 27001 es una certificación internacional sobre el sistema completo de gestión de seguridad de la información de una empresa, emitida por un organismo acreditado. SOC 2 es un reporte de atestiguamiento sobre los controles de un servicio específico, emitido por un despacho de contadores públicos certificados en Estados Unidos.
¿SOC 2 es una certificación?
No. SOC 2 es un reporte con la opinión profesional de un despacho de contadores públicos certificados, siguiendo los estándares del AICPA. No existe una entidad que emita un certificado SOC 2, así que ninguna empresa puede decir de forma precisa que "está certificada" en SOC 2.
¿Me sirve ISO 27001 si mi cliente me pide SOC 2?
ISO 27001 no sustituye a un reporte SOC 2 si tu cliente lo exige por contrato, porque son documentos distintos. Sí construye la base de controles y evidencia que reduce el trabajo cuando un despacho de contadores certificados haga después el examen SOC 2 sobre tu empresa.
¿Cuánto cuesta certificar a mi empresa en ISO 27001 en México?
El costo depende del tamaño de la empresa, de qué tan documentados están ya sus procesos y del alcance del sistema de gestión que se va a certificar. Sentelius incluye un diagnóstico antes de cualquier cotización, precisamente porque ese costo no se puede fijar sin medir primero la empresa.
¿SOC 2 tiene validez en México o solo en Estados Unidos?
SOC 2 se reconoce sobre todo en Estados Unidos, entre empresas de software y de servicios en la nube. En México y en la mayoría de las licitaciones y cadenas de suministro internacionales se pide con más frecuencia ISO 27001, por su reconocimiento internacional.
¿Qué tan común es ISO 27001 entre empresas mexicanas?
México tiene 475 certificados ISO/IEC 27001 vigentes según el ISO Survey 2024, el primer lugar en América Latina, por encima de Brasil y Colombia. La cifra mundial de certificados vigentes se duplicó entre 2023 y 2024.
El siguiente paso
Si tu empresa necesita demostrarle a un cliente, a una licitación o a un auditor que protege su información bajo un estándar reconocido, ISO 27001 es la ruta con más reconocimiento fuera de Estados Unidos. Solicita tu alineación a ISO 27001 sobre Certia, la plataforma donde Sentelius acompaña el sistema completo, desde el diagnóstico hasta la evidencia lista para tu auditoría de certificación.
Alejandro Tapia, Chief Technology & Security Officer en Sentelius. Dirijo la implementación de sistemas de gestión ISO sobre Certia. Soy ingeniero en redes y telecomunicaciones, con más de una década en arquitectura tecnológica y ciberseguridad, Certified ISO 27001 Lead Auditor (CertiProf, I27001LA) e ISO 27001 Lead Implementer Certification (CertiProf, I27001LI). Perfil del autor