¿Necesitamos la ISO 27001 o SOC 2?

Depende sobre todo de quiénes son sus clientes y qué piden. La ISO/IEC 27001 es una certificación internacional de su sistema de gestión, muy reconocida en Europa y en la contratación pública; SOCSOC: security operations centre (centro de operaciones de seguridad). Un equipo, a menudo activo las 24 horas, que vigila los ataques y responde a ellos. 2 es un informe de atestación basado en normas de auditoría estadounidenses, habitual en la venta de software en Norteamérica. A muchas empresas medianas europeas se les pide primero la ISO 27001, mientras que las que venden software en Estados Unidos se encuentran con cuestionarios SOC 2. Ambos examinan en gran parte los mismos controles, así que el trabajo de fondo se solapa mucho: evaluación de riesgos, control de accesos, gestión de cambios, gestión de proveedores, respuesta a incidentes, registro y vigilancia. Si con el tiempo necesita los dos, construya un único conjunto de controles y vincúlelo a cada marco en lugar de llevar dos programas. Antes de empezar, pregunte a sus mayores clientes y potenciales clientes qué aceptan, compruebe si de momento basta un cuestionario de seguridad completado y defina un alcance lo bastante acotado para terminarlo. Ninguno sustituye las obligaciones de NIS2NIS2: segunda directiva europea sobre seguridad de las redes y de la información. La ley europea de ciberseguridad (Directiva (UE) 2022/2555), que impone obligaciones de seguridad y de notificación de incidentes a muchas empresas.. NetSenX no tiene hoy ninguno de los dos: el SOC 2 Tipo I y la ISO/IEC 42001 están en preparación.

← Las 15 preguntas sobre Normas de seguridad: ISO 27001, SOC 2Todos los temas