SOC 2 o ISO 27001: el peaje de tu primer contrato enterprise
El deal es un sí verbal. Entonces procurement envía la hoja de cálculo — trescientas filas de preguntas de seguridad — y la fila doce pide tu informe SOC 2. No lo tienes. Tu trimestre acaba de cambiar de golpe.
Me he sentado a los dos lados de esa hoja de cálculo. En operaciones enterprise revisaba proveedores contra ella; en Conectia he visto a startups AI-native chocar con ella justo en el momento en que su producto por fin se ganaba un comprador con presupuesto de verdad. El patrón se repite tanto que se puede enunciar como regla: el artefacto de auditoría es el peaje del camino entre venderle a startups y venderle a enterprises. Puedes indignarte con el peaje o presupuestarlo, pero el camino no tiene carril gratuito.
No es asesoramiento jurídico, y tampoco consejo de auditor — esta es la vista del ingeniero sobre cómo pagar el peaje sin parar el coche.
El certificado es un proxy de una pregunta que los compradores no pueden permitirse hacer dos veces
Un equipo de seguridad enterprise con doscientos proveedores delante no puede revisar a fondo cada uno, así que externaliza la pregunta a un auditor y te pide el recibo. Eso es todo lo que es un informe SOC 2 o un certificado ISO 27001: la evidencia de que un tercero te vio operar y escribió lo que vio. Entender esto cambia cómo lo afrontas. El comprador no está preguntando «¿sois seguros?» — ningún documento responde eso. Está preguntando «si filtráis mis datos, ¿puedo demostrarle a mi regulador que hice la diligencia debida?». Tu trabajo es que esa respuesta le salga barata.
¿Cuál de los dos? Sigue el pasaporte de tus compradores
Los dos artefactos se solapan mucho en sustancia y difieren en audiencia:
- SOC 2 es un informe de atestación bajo el marco del AICPA — cinco Trust Services Criteria, de los que Security es obligatorio y el resto (Availability, Confidentiality, Processing Integrity, Privacy) se incluyen en el alcance según lo exijan tus compradores. Es el estándar de facto norteamericano.
- ISO/IEC 27001:2022 es una certificación de que tu sistema de gestión de seguridad de la información opera contra un estándar con 93 controles del anexo A. Es lo que reconocen los equipos de compras europeos e internacionales.
La decisión rara vez merece tantas vueltas como se le dan: pregunta a tus tres prospects principales qué artefacto desbloquea su procurement, y haz ese primero. Un pipeline volcado en EE. UU. significa SOC 2; un pipeline enterprise europeo significa ISO 27001; una empresa que vende en los dos continentes suele acabar con ambos, compartiendo la mayoría de los controles de base. Adivinar en lugar de preguntar es como las startups acaban comprando la auditoría equivocada.
Dos diferencias mecánicas que conviene conocer antes de firmar con un auditor. Un informe SOC 2 es confidencial — lo entregas bajo NDA, deal a deal, y los compradores tratan como caducados los informes de más de doce meses, así que planifica un ciclo anual con bridge letters cubriendo el hueco. Un certificado ISO es público y cita tu declaración de alcance, que los equipos de procurement sí leen: un certificado cuyo alcance es «la web de marketing» no engaña a nadie y destruye la confianza. Escribe la declaración de alcance como si el ingeniero de seguridad del comprador te la fuera a repetir palabra por palabra, porque los buenos lo hacen.
El Type I es una fotografía. El Type II es una película.
SOC 2 tiene dos variantes, y la diferencia es la restricción que debería gobernar tu calendario. El Type I atestigua que tus controles están diseñados correctamente en una fecha concreta. El Type II atestigua que operaron durante una ventana de observación — típicamente de tres a doce meses. La mayoría de compradores enterprise quiere la película, no la fotografía, porque un control que existía el día de la auditoría demuestra poco.
La consecuencia de ingeniería: la ventana de observación no se puede comprimir. El tooling puede acelerar todo lo que la rodea — recogida de evidencias, redacción de políticas, análisis de gaps — pero tres meses de historia operativa tardan tres meses. Lo único que acorta el time-to-deal es arrancar la ventana antes de necesitarla, y por eso el momento de empezar es cuando los deals enterprise son plausibles, no cuando llega la hoja de cálculo.
Los auditores muestrean evidencias, no intenciones
Desde dentro, la auditoría no se parece a lo que sugiere una página de seguridad. El auditor no califica tu arquitectura ni admira tu cifrado. Tira de muestras: enséñame la revisión de accesos del Q2, con su firma. Enséñame el ticket de offboarding de la persona que se fue en marzo — cuándo se cerró cada cuenta y quién la cerró. Enséñame el registro de cambios de este deploy: la PR, la revisión, la aprobación. Enséñame el incidente de noviembre y qué hicisteis.
Vuelve a leer esa lista como ingeniero y aparece algo útil: cada elemento es un subproducto de trabajo que ya haces — si lo haces a través de sistemas que dejan rastro. SSO y MFA en todas partes hacen consultables las revisiones de acceso. Infraestructura como código más revisión obligatoria de PR es gestión de cambios, con la evidencia generada en el merge. Un proceso de bajas con tickets es evidencia de offboarding. Las startups que sufren son aquellas donde todo esto corre sobre hábitos y mensajes de Slack, porque el hábito no deja muestras.
Las muestras tampoco se quedan dentro de casa. Auditores y compradores quieren tu lista de subencargados — los proveedores que tocan los datos que te han confiado — y la evidencia de que los revisaste. Si tu producto llama a la API de un modelo, ese proveedor está en la lista, y «miraremos su trust page cuando alguien pregunte» no es una revisión. Diez minutos por proveedor y año, documentados, son la diferencia entre un hallazgo y un aprobado.
El offboarding es la muestra que yo apostaría a que se suspende, y los engagements externos son donde se suspende primero — el contractor cuyo acceso al repo sobrevivió al contrato es un cliché porque sigue pasando. Es la razón de que hayamos hecho de el handover con borrado seguro una fase formal de cada engagement de Conectia: cuando el auditor tira de la salida de un ingeniero incrustado, el cliente tiene una checklist con firma, no un proyecto de arqueología.
El contraargumento honesto: el certificado no te hace seguro
Lo concedo sin matices: empresas con informes SOC 2 impecables sufren brechas. Un programa de compliance puede acabar convertido en teatro de checkboxes, y los equipos de seguridad de los compradores lo saben — por eso el informe abre la puerta pero la llamada de seguridad sigue ocurriendo. Si tratas la auditoría como la meta, pagarás dos veces: una al auditor y otra por el incidente que los checkboxes no evitaron.
Los costes también son reales. Entre el auditor, una plataforma de compliance y el tiempo de ingeniería, un primer Type II es un proyecto de cinco cifras, y una primera certificación ISO 27001 suele llevarse la mayor parte de un año. Presupuéstalo como go-to-market — desbloquea ingresos —, no como un impuesto a la ingeniería, porque eso es lo que es: el peaje que abre un segmento de mercado donde los deals son diez veces mayores.
Qué haría el trimestre antes de que los deals enterprise vayan en serio
- Pregunta a tres compradores objetivo qué artefacto despeja su procurement. Su respuesta, no un blog, elige entre SOC 2 e ISO 27001.
- Arranca ya la ventana de observación del Type II. El calendario es el cuello de botella que nadie puede recuperar después.
- Acota el perímetro. Audita el sistema de producción y a las personas que lo tocan — no todos los portátiles de la empresa. El scope creep es la principal forma en que las auditorías congelan roadmaps.
- Haz de la evidencia un subproducto: SSO en toda herramienta que toque producción, IaC con revisión obligatoria, offboarding como tickets con responsable. Nada de eso es burocracia; todo deja muestras.
- Ensaya la lista de muestras cada trimestre. Saca tu propia revisión de accesos, un ticket de baja, un registro de cambio. Si no puedes producirlos en una hora, tampoco podrás durante la auditoría.
El peaje es molesto, cuesta cinco cifras y es en su mayor parte papeleo que deberías haber estado generando de todos modos. También es lo más barato que se interpone entre tu producto y compradores cuyos contratos cambian tu empresa. Págalo pronto, págalo una vez, y mantén el roadmap en marcha mientras la ventana de observación hace su trabajo en silencio.
Si estás montando el equipo de cara a tus primeros deals enterprise y quieres ingenieros que ya han operado dentro de entornos auditados, habla con un CTO.
