Главное
SOC 2 — ориентированный на США отчёт об аттестации, который выпускает лицензированная аудиторская фирма; ISO 27001 — признанная во всём мире сертификация, которую выдаёт аккредитованный орган. Крупные покупатели из США обычно просят SOC 2, международные и европейские — ISO 27001. Меры контроля сильно пересекаются, поэтому многие компании строят систему один раз и сопоставляют её с обоими стандартами.
Ключевое различие
ISO/IEC 27001 подтверждает, что вы эксплуатируете систему менеджмента информационной безопасности (СМИБ) по международному стандарту. Сертификат выдаёт аккредитованный орган по сертификации после двухэтапного аудита, и он признаётся во всём мире.
SOC 2 — это отчёт об аттестации по критериям AICPA Trust Services. Лицензированная аудиторская фирма проверяет ваши меры контроля и выпускает отчёт, который клиенты читают напрямую. Это фактический сигнал доверия на рынке США.
Тип I и Тип II, а также сроки
SOC 2 бывает двух видов. Тип I проверяет дизайн мер контроля на определённую дату и выполняется быстрее. Тип II проверяет дизайн и операционную эффективность за период, обычно от 3 до 12 месяцев, и именно его в итоге требует большинство крупных заказчиков.
Подготовка к ISO 27001 в организации среднего размера обычно занимает от трёх до шести месяцев плюс сертификационный аудит. В обоих случаях сертифицирующая или аттестующая фирма выставляет отдельный счёт.
Что выбрать?
Решение обычно следует за вашими покупателями и географией.
- Продаёте в основном крупным компаниям США: начните с SOC 2 (часто Тип II)
- Продаёте на международном рынке или в ЕС/Великобритании: ISO 27001
- Продаёте и там, и там: постройте единый набор мер контроля и сопоставьте его с обоими стандартами
- Сильно регулируемая отрасль (финансы, здравоохранение): могут дополнительно потребоваться PCI DSS, HIPAA или индийские регуляторные аудиты
Чем помогает IntelligenceX
Мы проводим анализ разрывов, выстраиваем меры контроля и доказательную базу и сопровождаем вас на аудите как для SOC 2, так и для ISO 27001, сопоставляя общие меры так, чтобы работа выполнялась один раз. Мы готовим и сопровождаем; сертификат или отчёт выдаёт аккредитованный орган либо аудиторская фирма.
Часто задаваемые вопросы
Да, и многие имеют. Наборы мер контроля пересекаются примерно на 80 %, поэтому одна программа безопасности может поддерживать оба. Мы сопоставляем общие меры, чтобы не дублировать работу.
Ни один из них не является сертификацией по GDPR, но оба демонстрируют зрелые практики безопасности, поддерживающие обязательства GDPR по защите данных. ISO 27701 — это расширение по приватности, напрямую сопоставленное с GDPR.