Seguridad y cumplimiento
ISO 27001 y SOC 2 para empresas de software, con Certenza
Trabajamos ISO 27001 y SOC 2 junto con Certenza: controles, evidencias y preparación para la auditoría de un tercero independiente. Hablemos de tu caso.
El problema
Un cliente grande te manda un cuestionario de seguridad, o te pide ISO 27001 o un informe SOC 2 para avanzar, y la venta se frena. Sin controles documentados ni evidencias a mano, cada respuesta se arma de cero y cada pedido de auditoría se vuelve una urgencia.
Prepararse para una certificación ISO 27001 o un informe SOC 2 no es llenar planillas el último mes: son controles que se cumplen todo el año y evidencias que se juntan mientras el equipo sigue construyendo producto.
ISO 27001 y SOC 2: qué es cada uno
ISO 27001
Certificación
Estándar internacional (ISO/IEC 27001) para armar y mantener un sistema de gestión de seguridad de la información. Un organismo de certificación acreditado e independiente audita ese sistema y, si la auditoría lo confirma, emite el certificado.
SOC 2
Informe Tipo I o Tipo II
Marco del AICPA sobre seguridad y otros criterios de confianza. No termina en un certificado sino en un informe que emite una firma de contadores públicos (CPA) independiente. El Tipo I evalúa el diseño de los controles a una fecha; el Tipo II, cómo funcionaron durante un período.
Cómo lo resolvemos
Trabajamos ISO 27001 y SOC 2 junto con Certenza, una plataforma de gestión de cumplimiento donde quedan ordenados los requisitos, los controles, los responsables y las evidencias de tu empresa. Para que el cumplimiento no dependa de una sola persona o de una planilla.
Nuestra parte es la técnica, la misma que ya hacemos en infraestructura cloud y DevOps: seguridad de la infraestructura, pipeline de despliegue y arquitectura documentada. Cómo se reparte el trabajo con Certenza lo definimos en una primera conversación.
Más sobre la plataforma en certenza.com.
Qué incluye
- Refuerzo técnico de la infraestructura y de los despliegues
- Pipeline de despliegue ordenado y arquitectura documentada
- Monitoreo de lo que corre en producción
- Requisitos, controles y evidencias ordenados en Certenza
- Preparación para la auditoría de un tercero independiente
Quién emite qué
Ni WAIA ni Certenza emiten la certificación ni el informe: el certificado ISO 27001 lo emite un organismo de certificación acreditado y el informe SOC 2, una firma CPA independiente. No prometemos resultados: la auditoría y su resultado son de un tercero.
Puertas adentro, también estamos ordenando y auditando nuestros procesos internos, con ISO 27001 y SOC 2 en el horizonte.
Para quién es
- Startups, SaaS y empresas de software que responden revisiones de seguridad de clientes corporativos.
- Empresas que necesitan ISO 27001 para licitaciones o para venderle a grandes compañías.
- Equipos técnicos que hoy contestan cuestionarios de seguridad a mano y quieren dejar de empezar de cero cada vez.
Preguntas frecuentes
¿Qué es ISO 27001 y para qué sirve la certificación?
ISO/IEC 27001 es el estándar internacional para armar y mantener un sistema de gestión de seguridad de la información (SGSI). La certificación le demuestra a clientes y licitaciones que tus controles de seguridad fueron auditados por un tercero. El certificado lo emite un organismo de certificación acreditado e independiente, no la empresa que te ayuda a prepararte.
¿Qué es un informe SOC 2 y qué diferencia hay entre Tipo I y Tipo II?
SOC 2 es un marco del AICPA sobre seguridad y otros criterios de confianza: disponibilidad, integridad del procesamiento, confidencialidad y privacidad. Se lo busca mucho como “certificación SOC 2”, pero técnicamente no es un certificado: es un informe que emite una firma de contadores públicos (CPA) independiente. El Tipo I evalúa si los controles están bien diseñados a una fecha determinada; el Tipo II evalúa además si funcionaron durante un período.
¿Conviene empezar por ISO 27001 o por SOC 2?
Depende de lo que te pida tu cliente. ISO 27001 es la que más aparece en licitaciones y en empresas fuera de Estados Unidos; el informe SOC 2 es el que suelen pedirles a sus proveedores de software las empresas estadounidenses. Muchos controles se superponen, así que el trabajo de una se aprovecha en la otra. En una primera conversación vemos qué te están pidiendo y desde dónde conviene arrancar.
¿Quién emite el certificado ISO 27001 o el informe SOC 2?
Ni WAIA ni Certenza. El certificado ISO 27001 lo emite un organismo de certificación acreditado, y el informe SOC 2 lo emite una firma CPA independiente. Nosotros trabajamos junto con Certenza para que llegues preparado a esa auditoría; la auditoría y el resultado son de un tercero.
¿Qué hace Certenza y qué hace WAIA?
Certenza es una plataforma de gestión de cumplimiento: ordena los requisitos, los controles, los responsables y las evidencias. La parte de WAIA es la técnica, la misma que ya hacemos en infraestructura cloud y DevOps. Trabajamos las dos normas juntos, y cómo se reparte el trabajo en tu caso lo definimos con vos en una primera conversación.
¿Sirve para responder cuestionarios de seguridad de proveedores?
Puede ayudar: con controles documentados y evidencias ordenadas, muchas respuestas salen de material que ya existe en vez de armarse de cero. No reemplaza a la certificación ISO 27001 ni al informe SOC 2.
¿Cuánto tarda y cuánto cuesta?
Depende del alcance y del punto de partida: no es lo mismo una startup con pocos sistemas que una empresa con varias aplicaciones y equipos. Por eso no damos plazos ni precios sin antes entender tu situación. La auditoría, además, tiene su propio costo y calendario, que fija el organismo o la firma que elijas.
¿ISO 27001 sirve para una empresa de desarrollo de software o una pyme?
Sí. El estándar se adapta al tamaño y a los riesgos de cada organización, y es habitual en empresas de software, desde equipos chicos hasta grandes. Lo importante es definir bien el alcance, es decir, qué sistemas, equipos y procesos entran, para que el esfuerzo sea proporcionado. Eso se define al empezar.
Quiero evaluar ISO 27001 o SOC 2 para mi empresa
Primero conversamos: qué te piden tus clientes, qué ya tenés armado y por dónde conviene empezar.
