SaaS europea con clientes USA. Pregunta si se puede hacer "dos por uno". El alcance ISO y SOC 2 difiere pero los controles Annex A 2022 cubren mucho TSC. ¿Estimáis 1.3x o 1.6x del esfuerzo de uno solo?
9 respuestas
1.4x en mi experiencia, si el alcance es el mismo. El esfuerzo extra está en el evidence collection con dos auditores distintos y formatos distintos.
Drata/Vanta ayudan muchísimo si la stack es cloud-native. La doble certificación sale a 1.2x con la plataforma bien configurada.
¿Drata o Vanta para empresa de 200 personas? Veo precios muy distintos.
Drata si ya tienes ISO y queremos mantener. Vanta más amigable para arrancar de cero. Para 200 personas Vanta sale mejor en mi opinión.
Coincido. Y ojo con SOC 2 Type II: necesitas observación mínima 3-6 meses. Planifica la auditoría una vez tengas operación continua, no antes.
Tomado nota. Voy con Vanta + observación 6 meses antes del Type II.
Reaprovechamiento real ronda el 60-70% de controles si mapeas bien Anexo A contra los TSC de SOC 2. El gap gordo está en evidencia continua: SOC 2 Type II te pide operación sostenida 6-12 meses, ISO te vale con muestreo puntual.
Ojo con vender "una sola auditoría". Son dos firmas y dos alcances distintos. Lo que sí reaprovechas es el SGSI documental y el risk assessment. Yo lo presupuesto como proyecto único con dos entregables.
Gracias, justo el matiz de la evidencia continua era mi duda. Vamos con ventana SOC 2 de 6 meses y certificamos ISO en paralelo el mes 3.
Inicia sesión para responder y votar.