ISO 27001 ou SOC 2: o que escolher para clientes na Europa e nos EUA - Kyrylo Proskurnya

Esta pergunta surge em quase todas as primeiras consultas: «O cliente americano pede SOC 2, o europeu pede ISO 27001. O que fazemos?» Vamos às diferenças, sem nevoeiro de marketing.

A natureza dos documentos

ISO 27001 — certificação de um sistema de gestão: um organismo acreditado confirma que o seu SGSI cumpre a norma internacional. Resultado: certificado válido por 3 anos.

SOC 2 — relatório de atestação de um auditor CPA independente (segundo as normas do AICPA) sobre a conformidade dos seus controlos com os critérios de serviços de confiança (segurança, disponibilidade, confidencialidade, etc.). Resultado: um relatório detalhado — Type I (a uma data) ou Type II (num período, geralmente 6–12 meses).

Quem pede o quê

Clientes dos EUA, sobretudo no segmento SaaS — quase sempre SOC 2 Type II.
Clientes da UE, do Reino Unido, da Ásia e setor público — ISO 27001.
Empresas enterprise globais — aceitam cada vez mais qualquer um dos dois; as maiores querem ambos.

O que têm em comum

Cerca de 70–80% dos controlos sobrepõem-se: gestão de acessos, incidentes, alterações, fornecedores, continuidade. A estratégia mais eficiente é construir um único sistema de controlos e «pendurar» nele as duas confirmações. Com um sistema ISO 27001 a funcionar, a preparação para o SOC 2 encurta drasticamente — e vice-versa.

O meu conselho prático

Olhe para o funil de vendas: onde estão os seus clientes-alvo nos próximos 2 anos? Se na Europa — comece pela ISO 27001 (aqui está o plano passo a passo). Se nos EUA — SOC 2 Type I e depois Type II. Se em ambos — ISO 27001 como base e SOC 2 na etapa seguinte. Os temas de privacidade são tratados na ligação entre RGPD e ISO 27701.

A natureza dos documentos

Quem pede o quê

O que têm em comum

O meu conselho prático

Leia também