ISO 27001, SOC 2 y DORA no son tres sellos equivalentes. ISO/IEC 27001 permite certificar un sistema de gestión de seguridad de la información; SOC 2 es un informe de aseguramiento sobre controles de una organización de servicios; DORA es una regulación de la Unión Europea para resiliencia operativa digital del sector financiero. Una empresa de Colombia o México debe empezar por el requisito real de su cliente, no por la sigla más conocida.
ISO 27001 vs SOC 2 vs DORA: respuesta rápida
Elija ISO/IEC 27001 cuando necesita un sistema de gestión certificable y reconocido internacionalmente. Evalúe SOC 2 cuando clientes —especialmente del mercado estadounidense— solicitan un informe sobre controles aplicables a servicios. Analice DORA cuando presta servicios TIC a una entidad financiera de la Unión Europea y el contrato traslada requisitos de resiliencia, incidentes, pruebas o terceros.
La elección no siempre es exclusiva. Una compañía SaaS puede operar un SGSI basado en ISO 27001, entregar un informe SOC 2 a clientes específicos y responder cláusulas DORA para una entidad financiera europea. La clave es diseñar una base de controles y evidencias reutilizables sin afirmar que un marco sustituye automáticamente a otro.
| Criterio | ISO/IEC 27001 | SOC 2 | DORA |
|---|---|---|---|
| Naturaleza | Norma de sistema de gestión | Informe de aseguramiento | Regulación sectorial |
| Objeto | Riesgos de información dentro de un alcance | Controles de una organización de servicios | Resiliencia operativa digital financiera |
| Resultado | Certificado por organismo independiente | Informe emitido por profesional autorizado | Cumplimiento y evidencia aplicable |
| Mercado habitual | Internacional | Frecuente en relaciones con EE. UU. | Sector financiero de la UE y su cadena TIC |
| Pregunta inicial | ¿Qué SGSI se certificará? | ¿Qué controles y periodo examinará el informe? | ¿Qué entidad, servicio y cláusula lo hacen aplicable? |
Qué demuestra ISO/IEC 27001
ISO/IEC 27001:2022 especifica requisitos para establecer, implementar, mantener y mejorar un sistema de gestión de seguridad de la información. Su lógica parte del contexto, las partes interesadas, el alcance y la gestión de riesgos. No certifica que una empresa sea invulnerable ni obliga a aplicar todos los controles de manera idéntica.
El sistema necesita políticas, responsabilidades, evaluación y tratamiento de riesgos, objetivos, competencias, operación, seguimiento, auditoría interna, revisión por dirección y mejora. La Declaración de Aplicabilidad registra controles pertinentes y justificaciones. Un certificado válido se refiere a un alcance, una organización y un ciclo de auditoría concretos.
La implementación de SGSI e ISO 27001 de Insylux ayuda a construir el sistema y sus evidencias. Insylux no emite la certificación: esa decisión corresponde a una entidad certificadora independiente y acreditada según el esquema aplicable.
Qué es realmente un informe SOC 2
SOC 2 pertenece al conjunto de servicios SOC de AICPA y se relaciona con criterios de confianza sobre seguridad, disponibilidad, integridad del procesamiento, confidencialidad o privacidad. No es una certificación ISO. Es un examen de controles de una organización de servicios realizado bajo estándares profesionales aplicables.
Las conversaciones comerciales suelen distinguir informes sobre diseño en una fecha y sobre diseño y operación durante un periodo. La empresa debe confirmar con el auditor y el cliente qué informe requiere, qué sistema se describirá, qué criterios entrarán y qué periodo será útil. Decir “somos SOC 2” sin precisar informe, alcance y fecha puede inducir a error.
Insylux no se presenta en este artículo como firma emisora de informes SOC. Puede ayudar a ordenar controles, riesgos y evidencias mediante un Security GAP Assessment; la organización debe contratar al profesional autorizado que realizará el examen SOC correspondiente.
Por qué DORA es diferente
El Reglamento (UE) 2022/2554 establece requisitos de resiliencia operativa digital para entidades financieras de la Unión Europea. Abarca gestión del riesgo TIC, incidentes, pruebas, riesgo de terceros e intercambio de información. Una empresa latinoamericana no queda sometida automáticamente por estar en Colombia o México, pero puede recibir obligaciones contractuales como proveedor TIC de una entidad dentro del alcance.
La entidad financiera conserva su responsabilidad, incluso cuando externaliza servicios. Por eso puede exigir información sobre seguridad, disponibilidad, integridad, acceso, recuperación, asistencia ante incidentes, auditoría, subcontratación y terminación. El proveedor debe identificar la cláusula y el servicio concreto, no afirmar “cumplimos DORA” como promesa general sin análisis.
La consultoría DORA de Insylux ayuda a traducir solicitudes de clientes financieros europeos en una matriz de requisitos, controles y evidencias. No convierte DORA en una certificación ni sustituye asesoría jurídica sobre aplicabilidad.
Empiece por la evidencia de la solicitud
Antes de iniciar un proyecto, recopile el cuestionario, contrato, licitación, política de proveedores o correo del cliente. Identifique quién solicita, para qué servicio, qué datos y procesos están implicados, cuál es el plazo y qué forma de evidencia acepta. A veces el cliente no pide una certificación: pide gestión de accesos, continuidad, pruebas, notificación de incidentes o derecho de auditoría.
También conviene confirmar si la exigencia es obligatoria para contratar, deseable para puntuar o parte de una hoja de ruta. Esa distinción cambia el calendario y la inversión. Un requisito comercial urgente puede resolverse con evidencia existente y un plan aceptado; otro exige un ciclo formal de certificación o aseguramiento que no puede comprimirse sin perder rigor.
Construya una matriz de correspondencia
Una matriz de correspondencia evita crear tres sistemas paralelos. Cada fila relaciona requisito, proceso, control, evidencia, propietario, periodicidad, brecha y destinatario. La correspondencia no significa equivalencia: una política utilizada en ISO 27001 puede aportar evidencia a SOC 2 o DORA, pero cada evaluación mantiene sus criterios y conclusiones.
| Proceso | Evidencia base | Uso posible | Límite |
|---|---|---|---|
| Accesos | Altas, revisiones y privilegios | ISO 27001 y SOC 2 | El criterio exacto puede variar |
| Incidentes | Plan, registros y ejercicios | Los tres | DORA añade obligaciones sectoriales |
| Continuidad | BIA, respaldos y pruebas | Los tres | El servicio crítico define profundidad |
| Proveedores | Inventario, evaluación y contratos | ISO 27001 y DORA | No toda cláusula es intercambiable |
| Operación de controles | Muestras durante un periodo | SOC 2 y SGSI | El informe SOC lo emite el auditor |
Ruta de decisión en seis pasos
- Capture la demanda: conserve la solicitud original y el responsable comercial.
- Determine alcance: producto, proceso, entidad, datos, sedes y terceros.
- Clasifique el requisito: contractual, regulatorio, certificable o de aseguramiento.
- Evalúe evidencia: qué existe, opera y puede mostrarse.
- Seleccione la ruta: SGSI, preparación SOC, DORA o combinación.
- Planifique mantenimiento: responsables, ciclos, auditorías y renovaciones.
El orden evita comprar una etiqueta antes de entender el problema. También ayuda a negociar con clientes: si el requisito está mal formulado, la empresa puede preguntar qué riesgo busca cubrir y ofrecer evidencia equivalente solo cuando el cliente la acepte expresamente.
Quién debe dirigir el programa
La decisión involucra ventas, legal, seguridad, tecnología, operaciones y dirección. Alguien debe consolidar demandas y evitar que cada oportunidad comercial cree un control distinto. Un CISO as a Service de Insylux puede coordinar la hoja de ruta, los responsables y el reporte ejecutivo cuando no existe dirección de seguridad interna.
El propietario del negocio acepta prioridades y riesgo residual; el equipo técnico opera controles; legal interpreta contratos; y el auditor o certificador conserva independencia. Mezclar estos papeles genera conflictos, especialmente si un mismo proveedor promete implementar y “aprobar” su propio trabajo.
Errores frecuentes al responder a clientes
- Afirmar que ISO 27001 reemplaza cualquier solicitud SOC 2.
- Presentar SOC 2 como un certificado genérico.
- Decir que DORA certifica proveedores latinoamericanos.
- Prometer fechas antes de conocer alcance y evidencia.
- Copiar políticas sin operación demostrable.
- Ocultar excepciones o informes vencidos.
- Enviar información sensible sin canal ni acuerdo apropiados.
La transparencia protege la relación comercial. Es mejor explicar una brecha con plan, responsable y fecha que presentar una equivalencia falsa que el cliente detectará durante la revisión.
Cómo construir un calendario realista
El calendario debe separar preparación, operación de controles y evaluación independiente. ISO 27001 requiere que el sistema exista y produzca evidencia suficiente para auditorías internas y revisión por dirección. Un informe SOC puede necesitar observar controles durante un periodo definido. DORA puede imponer plazos contractuales o de incidentes que no esperan al siguiente ciclo anual.
Empiece por los hitos externos que no controla: disponibilidad del certificador, auditor autorizado, cliente y responsables internos. Después ubique diagnóstico, remediación, operación, muestreo y revisión. Las fechas comerciales deben incluir margen para hallazgos; comprimirlas no convierte evidencia inexistente en evidencia válida.
Si un cliente solicita una respuesta inmediata, entregue un estado preciso: evidencia disponible, brechas, plan aprobado y fecha estimada. No declare una certificación futura como obtenida ni envíe un informe fuera de su periodo. La trazabilidad de versiones evita que ventas reutilice documentos vencidos.
Aplicación para empresas de Colombia y México
Las empresas tecnológicas, BPO, fintech y proveedores de datos de Colombia y México pueden recibir estas exigencias al vender internacionalmente. La ubicación por sí sola no determina el marco; importan cliente, sector, contrato, servicio y tratamiento de información. El análisis debe conservar esa distinción.
Insylux Cybersecurity presta cobertura a empresas de la región desde Medellín. Puede acompañar el diagnóstico y la implementación dentro de su portafolio, pero no inventa presencia física en México ni actúa como certificador ISO, auditor SOC o autoridad europea.
Preguntas frecuentes
¿ISO 27001 y SOC 2 se pueden tener al mismo tiempo?
Sí. Pueden compartir controles y evidencia, pero mantienen objetivos, evaluadores y resultados distintos.
¿DORA exige una certificación al proveedor colombiano?
No existe una certificación DORA general. El proveedor debe analizar requisitos contractuales y obligaciones aplicables al servicio.
¿Cuál es más rápido?
Depende del alcance, madurez, evidencia, periodo de evaluación y disponibilidad del auditor. No hay un plazo universal responsable.
¿Un GAP equivale a certificación?
No. Es un diagnóstico para identificar brechas y planificar; no emite certificado ni informe de aseguramiento.
Convierta la solicitud del cliente en una ruta verificable
Fuentes y alcance
- ISO/IEC 27001:2022, descripción oficial.
- AICPA & CIMA: SOC 2, recursos oficiales.
- Reglamento (UE) 2022/2554 — DORA, texto oficial.
Este artículo ofrece orientación general y no sustituye evaluación jurídica, certificación ni aseguramiento independiente.
