SOC 2 o ISO 27001: el peatge del teu primer contracte enterprise
El deal és un sí verbal. Aleshores procurement envia el full de càlcul — tres-centes files de preguntes de seguretat — i la fila dotze demana el teu informe SOC 2. No el tens. El teu trimestre acaba de canviar de cop.
M'he assegut als dos costats d'aquest full de càlcul. En operacions enterprise hi revisava proveïdors; a Conectia he vist startups AI-native topar-hi just en el moment que el seu producte per fi es guanyava un comprador amb pressupost de debò. El patró es repeteix tant que es pot enunciar com a regla: l'artefacte d'auditoria és el peatge del camí entre vendre a startups i vendre a enterprises. Pots indignar-te amb el peatge o pressupostar-lo, però el camí no té carril gratuït.
No és assessorament jurídic, i tampoc consell d'auditor — aquesta és la vista de l'enginyer sobre com pagar el peatge sense aturar el cotxe.
El certificat és un proxy d'una pregunta que els compradors no es poden permetre fer dos cops
Un equip de seguretat enterprise amb dos-cents proveïdors al davant no pot revisar a fons cadascun, així que externalitza la pregunta a un auditor i et demana el rebut. Això és tot el que és un informe SOC 2 o un certificat ISO 27001: l'evidència que un tercer et va veure operar i va escriure el que va veure. Entendre-ho canvia com t'ho mires. El comprador no pregunta «sou segurs?» — cap document no respon això. Pregunta «si em filtreu les dades, puc demostrar al meu regulador que vaig fer la diligència deguda?». La teva feina és que aquesta resposta li surti barata.
Quin dels dos? Segueix el passaport dels teus compradors
Els dos artefactes se solapen molt en substància i difereixen en audiència:
- SOC 2 és un informe d'atestació sota el marc de l'AICPA — cinc Trust Services Criteria, dels quals Security és obligatori i la resta (Availability, Confidentiality, Processing Integrity, Privacy) entren a l'abast segons ho exigeixin els teus compradors. És l'estàndard de facto nord-americà.
- ISO/IEC 27001:2022 és una certificació que el teu sistema de gestió de seguretat de la informació opera contra un estàndard amb 93 controls de l'annex A. És el que reconeixen els equips de compres europeus i internacionals.
La decisió rarament mereix tantes voltes com se li donen: pregunta als teus tres prospects principals quin artefacte desbloqueja el seu procurement, i fes aquell primer. Un pipeline bolcat als EUA vol dir SOC 2; un pipeline enterprise europeu vol dir ISO 27001; una empresa que ven als dos continents sol acabar amb tots dos, compartint la majoria dels controls de base. Endevinar en lloc de preguntar és com les startups acaben comprant l'auditoria equivocada.
Dues diferències mecàniques que convé conèixer abans de signar amb un auditor. Un informe SOC 2 és confidencial — el lliures sota NDA, deal a deal, i els compradors tracten com a caducats els informes de més de dotze mesos, així que planifica un cicle anual amb bridge letters cobrint el forat. Un certificat ISO és públic i cita la teva declaració d'abast, que els equips de procurement sí que llegeixen: un certificat amb l'abast «el web de màrqueting» no enganya ningú i destrueix la confiança. Escriu la declaració d'abast com si l'enginyer de seguretat del comprador te l'hagués de repetir paraula per paraula, perquè els bons ho fan.
El Type I és una fotografia. El Type II és una pel·lícula.
SOC 2 té dues variants, i la diferència és la restricció que hauria de governar el teu calendari. El Type I atesta que els teus controls estan dissenyats correctament en una data concreta. El Type II atesta que van operar durant una finestra d'observació — típicament de tres a dotze mesos. La majoria de compradors enterprise vol la pel·lícula, no la fotografia, perquè un control que existia el dia de l'auditoria demostra poc.
La conseqüència d'enginyeria: la finestra d'observació no es pot comprimir. El tooling pot accelerar tot el que l'envolta — recollida d'evidències, redacció de polítiques, anàlisi de gaps — però tres mesos d'història operativa triguen tres mesos. L'única cosa que escurça el time-to-deal és arrencar la finestra abans de necessitar-la, i per això el moment de començar és quan els deals enterprise són plausibles, no quan arriba el full de càlcul.
Els auditors mostregen evidències, no intencions
Des de dins, l'auditoria no s'assembla al que suggereix una pàgina de seguretat. L'auditor no qualifica la teva arquitectura ni admira el teu xifratge. Demana mostres: ensenya'm la revisió d'accessos del Q2, amb la seva signatura. Ensenya'm el tiquet d'offboarding de la persona que va marxar al març — quan es va tancar cada compte i qui el va tancar. Ensenya'm el registre de canvis d'aquest deploy: la PR, la revisió, l'aprovació. Ensenya'm l'incident del novembre i què vau fer.
Torna a llegir aquesta llista com a enginyer i hi apareix una cosa útil: cada element és un subproducte de feina que ja fas — si la fas a través de sistemes que deixen rastre. SSO i MFA a tot arreu fan consultables les revisions d'accés. Infraestructura com a codi més revisió obligatòria de PR és gestió de canvis, amb l'evidència generada al merge. Un procés de baixes amb tiquets és evidència d'offboarding. Les startups que pateixen són aquelles on tot això corre sobre hàbits i missatges de Slack, perquè l'hàbit no deixa mostres.
Les mostres tampoc no es queden dins de casa. Auditors i compradors volen la teva llista de subencarregats — els proveïdors que toquen les dades que t'han confiat — i l'evidència que els vas revisar. Si el teu producte crida l'API d'un model, aquell proveïdor és a la llista, i «mirarem la seva trust page quan algú pregunti» no és una revisió. Deu minuts per proveïdor i any, documentats, són la diferència entre una troballa i un aprovat.
L'offboarding és la mostra que jo apostaria que se suspèn, i els engagements externs són on se suspèn primer — el contractor amb accés al repo que va sobreviure al contracte és un clixé perquè continua passant. És la raó per la qual hem fet del handover amb esborrat segur una fase formal de cada engagement de Conectia: quan l'auditor estira la sortida d'un enginyer encastat, el client té una checklist amb signatura, no un projecte d'arqueologia.
El contraargument honest: el certificat no et fa segur
Ho concedeixo sense matisos: empreses amb informes SOC 2 impecables pateixen bretxes. Un programa de compliance pot acabar convertit en teatre de checkboxes, i els equips de seguretat dels compradors ho saben — per això l'informe obre la porta però la trucada de seguretat continua passant. Si tractes l'auditoria com la meta, pagaràs dos cops: un a l'auditor i un altre per l'incident que els checkboxes no van evitar.
Els costos també són reals. Entre l'auditor, una plataforma de compliance i el temps d'enginyeria, un primer Type II és un projecte de cinc xifres, i una primera certificació ISO 27001 sol endur-se la major part d'un any. Pressuposta-ho com a go-to-market — desbloqueja ingressos —, no com un impost a l'enginyeria, perquè això és el que és: el peatge que obre un segment de mercat on els deals són deu vegades més grans.
Què faria el trimestre abans que els deals enterprise vagin de debò
- Pregunta a tres compradors objectiu quin artefacte els desencalla el procurement. La seva resposta, no un blog, tria entre SOC 2 i ISO 27001.
- Arrenca ja la finestra d'observació del Type II. El calendari és el coll d'ampolla que ningú no pot recuperar després.
- Acota el perímetre. Audita el sistema de producció i les persones que el toquen — no tots els portàtils de l'empresa. L'scope creep és la principal manera com les auditories congelen roadmaps.
- Fes de l'evidència un subproducte: SSO a tota eina que toqui producció, IaC amb revisió obligatòria, offboarding com a tiquets amb responsable. Res d'això no és burocràcia; tot deixa mostres.
- Assaja la llista de mostres cada trimestre. Treu la teva pròpia revisió d'accessos, un tiquet de baixa, un registre de canvi. Si no els pots produir en una hora, tampoc no podràs durant l'auditoria.
El peatge és empipador, costa cinc xifres i és majoritàriament paperassa que hauries d'haver estat generant de totes maneres. També és la cosa més barata que s'interposa entre el teu producte i compradors els contractes dels quals canvien la teva empresa. Paga'l aviat, paga'l un cop, i mantén el roadmap en marxa mentre la finestra d'observació fa la seva feina en silenci.
Si estàs muntant l'equip de cara als teus primers deals enterprise i vols enginyers que ja han operat dins d'entorns auditats, parla amb un CTO.
