Decidir qué certificación y por qué

Un informe SOC 2 lo emite una firma de contadores públicos como atestación: es una opinión sobre los controles de la empresa. Tiene dos variantes. El tipo I opina sobre cómo están diseñados los controles en una fecha concreta. El tipo II opina sobre cómo operaron durante un periodo, y por eso exige evidencia acumulada, no solo una foto. El informe es confidencial: se entrega al cliente bajo acuerdo.

Un certificado ISO/IEC 27001 lo emite un organismo de certificación tras una auditoría en dos etapas. Declara un alcance, vale tres años y se mantiene con auditorías de vigilancia anuales. Se puede mostrar sin acuerdo.

Antes de decidir, hay que leer qué pide cada cliente y si tiene alternativa. Ejecuta SELECT * FROM solicitudes_de_clientes en la consola. La columna acepta_otra_opcion dice si el cliente se conforma con otra cosa. Hay una solicitud que exige un certificado ISO/IEC 27001 y no acepta nada distinto.

Decidir por números pesa más que decidir por costumbre. Suma el valor anual de las solicitudes que piden un informe SOC 2 y no aceptan otra opción. Las que aceptan alternativa no cuentan en esta suma: se pueden atender de otra manera.

Con la comparativa y las solicitudes ya puedes proponer. Tres de las cuatro solicitudes que no aceptan alternativa piden SOC 2, y entre ellas están la de mayor valor y las de plazo más cercano. La que pide ISO/IEC 27001 vale menos y tiene el plazo más lejano. Una empresa de 38 personas no puede sostener dos certificaciones a la vez en su primer año sin descuidar el producto.