"Necesitamos certificarnos en ISO 27001 antes de fin de año. Y también en SOC 2 Type II porque los prospects gringos lo piden. ¿Es factible?". Esta conversación se repite en comités ejecutivos LATAM desde 2022 aproximadamente. Las certificaciones dejaron de ser opcionales para empresas que quieren clientes enterprise o quieren operar en mercados regulados.
El problema es que la información pública sobre cada certificación está llena de sales pitch de consultoras. Este artículo es la versión honesta: qué es cada una, cuándo la necesitás de verdad, cuánto cuesta realmente (no lo que dice el marketing inicial), cuánto tarda con números realistas, y cómo evitar errores comunes que extienden el proyecto 6-12 meses adicionales.
Lo que vas a aprender
- Qué certifica exactamente ISO 27001 y qué certifica SOC 2 Type II (no son lo mismo).
- Cuándo necesitás ISO 27001, cuándo necesitás SOC 2, cuándo necesitás las dos.
- Costo real total (auditor externo + consultoría + tiempo interno + herramientas).
- Timeline realista: 12-18 meses para ISO, 6-12 meses para SOC 2 Type II.
- 5 errores que extienden proyectos de certificación 6+ meses.
Qué certifica cada una
ISO 27001
ISO 27001 es un estándar internacional que certifica que tu empresa tiene un Sistema de Gestión de Seguridad de la Información (ISMS) bien diseñado y operando. No certifica "tus controles son perfectos" — certifica que tenés un sistema formal para gestionar riesgos de seguridad de información.
El estándar define:
- Anexo A: 93 controles (en la versión 2022) organizados en 4 dominios. Incluyen desde "política de seguridad" hasta "gestión de activos", "seguridad física", "cifrado", "gestión de incidentes", etc.
- Cláusulas 4-10: requisitos del sistema de gestión (liderazgo, planificación, soporte, operación, evaluación de desempeño, mejora continua).
La certificación la emite un organismo acreditado tras auditoría externa. En LATAM: BSI, SGS, Bureau Veritas, TÜV Rheinland son los más comunes. Válida por 3 años con auditorías de mantenimiento anuales.
SOC 2
SOC 2 (Service Organization Controls 2) es un framework del AICPA (EE.UU.) originalmente diseñado para empresas SaaS. Certifica que los controles de una organización cumplen con los Trust Service Criteria (TSC) en 5 categorías:
- Security (obligatorio).
- Availability (opcional, común en SaaS).
- Processing Integrity (opcional, común en sistemas transaccionales).
- Confidentiality (opcional, común en B2B).
- Privacy (opcional, relevante si procesás datos personales).
SOC 2 tiene dos tipos:
- Type I: controles bien diseñados en un punto de tiempo específico. Rápido de obtener (3-6 meses). Menos valor de mercado.
- Type II: controles operando efectivamente durante un período (típicamente 6-12 meses). Más valor. Es lo que casi siempre piden clientes enterprise.
Emitido por CPA firm (firma de contadores certificados en USA: Deloitte, PwC, KPMG, EY o firmas especializadas como A-LIGN, Prescient, Coalfire). Válido por 12 meses; para mantenerlo necesitás auditoría anual.
Diferencias clave
| Aspecto | ISO 27001 | SOC 2 Type II | |---|---|---| | Origen | Internacional (ISO, Suiza) | USA (AICPA) | | Foco | Sistema de gestión completo | Controles operacionales | | Reconocimiento | Global, especialmente Europa/LATAM | Principalmente USA, creciente global | | Duración de observación | Punto de tiempo + mantenimiento | 6-12 meses de operación | | Quién emite | Organismo certificador acreditado | CPA firm | | Validez | 3 años con mantenimiento anual | 12 meses, renovación anual | | Costo de auditoría externa | $15K-40K inicial, $5K-15K mantenimiento | $20K-60K anual |
Cuándo necesitás cada una
Necesitás ISO 27001 si:
- Vendés a empresas europeas que lo piden explícitamente en RFPs.
- Tu mercado principal es LATAM y querés diferenciación competitiva (pocos LATAM tienen).
- Operás en industrias con requerimiento regulatorio (financiero en algunos países, salud, gobierno).
- Tu estrategia incluye operación multi-país con marcos regulatorios diversos — ISO 27001 es el denominador común que facilita compliance.
- Querés un sistema de gestión formal que sobreviva rotación de personal.
Necesitás SOC 2 Type II si:
- Sos SaaS B2B que vende a empresas USA.
- Tus prospects enterprise lo piden en diligencia (pasa casi siempre arriba de cierto ticket).
- Procesás datos sensibles de clientes (información personal, financiera, médica).
- Querés demostrar madurez operacional a inversores (serie A+ cada vez más lo piden).
- Tu competencia ya lo tiene y estás perdiendo deals por ausencia.
Necesitás ambas si:
- Tu empresa vende globalmente a mercados con preferencias divididas (LATAM/EU = ISO, USA = SOC 2).
- Sos empresa madura con operación multi-región.
- Tus clientes enterprise vienen de ambos mundos.
El 70% de las empresas maduras medianas-grandes que opera globalmente acaba teniendo ambas. La duplicación de esfuerzo es menor de lo que parece — el 60-70% de los controles se solapan.
Costo real (no el del marketing)
Las consultoras suelen cotizar "desde $X,000 para certificación". Ese número es el costo de su consultoría — no el costo total que vas a incurrir. El costo real incluye:
Para ISO 27001 en empresa mediana LATAM (100-500 empleados)
| Componente | Costo estimado | |---|---| | Gap analysis inicial | $5K-15K | | Consultoría de implementación (6-10 meses) | $25K-80K | | Herramientas (GRC platform, policy management) | $3K-15K/año | | Tiempo interno del equipo (equivalente horas) | $20K-80K | | Auditoría externa inicial | $15K-30K | | Certificación (emisión del certificado) | $2K-5K | | Total inicial | $70K-225K | | Mantenimiento anual | $10K-40K |
Para SOC 2 Type II en empresa SaaS mediana (100-300 empleados)
| Componente | Costo estimado | |---|---| | Readiness assessment | $5K-15K | | Consultoría de implementación (3-6 meses) | $20K-60K | | Herramientas (Vanta, Drata, Secureframe) | $10K-30K/año | | Tiempo interno del equipo | $20K-50K | | Auditoría externa Type II (observa 6-12 meses) | $25K-50K | | Total primer año | $80K-205K | | Mantenimiento anual (incluye re-auditoría) | $30K-60K |
Ambas simultáneas
Si hacés ambas al mismo tiempo, podés ahorrar 30-40% del costo combinado. Muchos controles se implementan una vez y sirven para ambas. El trabajo extra es documentación específica.
Ballpark para ambas: $150K-300K primer año, $50K-100K mantenimiento anual.
Timeline realista
ISO 27001 desde cero
- Mes 1-2: gap analysis, definición de scope, decisión de alcance de certificación.
- Mes 2-4: diseño del ISMS, políticas, procedimientos. Training del equipo.
- Mes 4-8: implementación de controles técnicos faltantes.
- Mes 6-10: operación del ISMS generando evidencia.
- Mes 9-10: auditoría interna.
- Mes 10-11: auditoría externa Stage 1 (documental).
- Mes 12-14: remediación de findings, auditoría externa Stage 2 (operacional).
- Mes 14-15: emisión del certificado.
Total: 12-15 meses si todo va bien. 18-24 meses si hay findings significativos o el equipo es pequeño.
SOC 2 Type II desde cero
- Mes 1-2: readiness assessment, definición de scope.
- Mes 2-5: implementación de controles faltantes.
- Mes 5-6: punto de inicio del período de observación (Type II).
- Mes 6-11/17: período de observación (6-12 meses dependiendo de qué pide el cliente).
- Mes 11/17: auditoría externa.
- Mes 12/18: reporte final emitido.
Total: 12-18 meses primer Type II desde cero.
Si ya tenés un Type I, podés acortar bastante — Type I puede convertirse en Type II observando 6 meses adicionales.
Diesel incluye implementación y mantenimiento ISMS
Para clientes Diesel, ISO 27001 y SOC 2 son parte del paquete. Auditoría externa anual incluida. Equipo dedicado guía todo el proceso.
5 errores que extienden proyectos
1. Scope demasiado amplio
Error común: querer certificar "toda la empresa" el primer año. Scope grande = complejidad exponencial = retraso probable.
Mejor approach: scope inicial limitado a los sistemas más críticos o el departamento más maduro. Expandir scope en años subsiguientes. ISO 27001 permite scope limitado; SOC 2 típicamente es por servicio específico.
2. Políticas sin operacionalizar
Escribir 200 páginas de políticas que nadie lee ni aplica en su día a día. El auditor detecta esto en 10 minutos — pide evidencia de que la política se aplica, no hay evidencia, finding.
Mejor approach: políticas cortas, específicas, con evidencia operacional integrada (logs, tickets, aprobaciones registradas).
3. Herramientas sin proceso
Comprar Vanta/Drata/Secureframe y pensar que la herramienta "hace la certificación". La herramienta facilita el tracking y la evidencia, pero los procesos y controles los construís vos.
Mejor approach: definir procesos primero, elegir herramienta que soporte esos procesos (no al revés).
4. Subestimar el tiempo del equipo interno
Las consultoras cotizan su tiempo ($25K-$80K) pero el tiempo del equipo interno para trabajar con ellos es igual o mayor ($20K-$80K equivalentes). Si no planificás capacity del equipo, el proyecto se atrasa porque el equipo no tiene horas disponibles.
Mejor approach: asignar formalmente tiempo (idealmente un security champion con 50-80% de su tiempo dedicado) durante el período de certificación.
5. Elegir auditor por precio
El auditor más barato puede ser problemático: auditor desconocido puede no ser reconocido en ciertos mercados (cliente USA puede no aceptar auditor random LATAM). O auditor barato tiene equipos junior que genera más findings que uno experimentado.
Mejor approach: elegir auditor con reconocimiento en tus mercados objetivos, preguntar referencias de empresas similares a la tuya.
Estrategia recomendada por tipo de empresa
Startup temprana (pre-series A)
Recomendación: ninguna certificación aún. Enfocar en fundamentals básicos (MFA, backups, logs). Certificación pre-producto-market-fit es overhead que mata velocity.
Startup en crecimiento (serie A-B)
Recomendación: SOC 2 Type II si vendés B2B USA (casi siempre es requerido en deals >$50K ARR). ISO 27001 si LATAM/EU es tu foco.
Empresa mediana SaaS (serie B-C, 100-500 empleados)
Recomendación: SOC 2 Type II como default. Evaluar ISO 27001 si expansión a Europa o LATAM lo requiere.
Empresa mediana/grande tradicional (no-SaaS, 500-5000 empleados)
Recomendación: ISO 27001 como foco principal. Add SOC 2 Type II si hay servicios digitales B2B que lo requieran.
Empresa regulada (financiero, salud, gobierno)
Recomendación: ambas + certificaciones específicas de sector (PCI-DSS para pagos, HIPAA para salud US, habeas data local). El piso regulatorio es alto; las certificaciones son parte del cost of doing business.
Cierre
Las certificaciones de seguridad no son medallas decorativas. Son evidencia formal, auditada por terceros, de que tu empresa tiene capacidad real de proteger información. En 2026 dejaron de ser opcionales para empresas que venden B2B a clientes enterprise o operan en sectores regulados.
La inversión es significativa ($70K-$225K primer año para una; $150K-$300K para ambas), pero el ROI viene en tres formas: deals que no podrías cerrar sin ellas, reducción de riesgo operacional real, y diferenciación competitiva en mercados que aún están en proceso de maduración.
La pregunta para el directorio no es "¿vale la pena?". Es "¿cuándo y con qué secuencia?". Posponer indefinidamente en mercados donde se volvió standard es perder relevancia competitiva.
Preguntas frecuentes
¿Cuál certificación vale más en LATAM?
ISO 27001 tiene mayor reconocimiento histórico en LATAM (Europa-first framework, adoptado globalmente). SOC 2 creció rápido en los últimos 5 años porque las empresas SaaS que venden a USA lo piden. Si servís principalmente mercado LATAM/Europa: ISO 27001. Si vendés SaaS B2B a empresas USA: SOC 2. Si servís ambos: las dos.
¿Cuánto tarda obtener ISO 27001 desde cero?
Típicamente 12-18 meses para empresa mediana sin sistema de gestión previo. Fases: gap analysis (1-2 meses), implementación de controles faltantes (6-10 meses), auditoría interna (1 mes), auditoría externa etapa 1 (1 mes), auditoría etapa 2 (1-2 meses). Mantenimiento anual después para conservar certificación.
¿SOC 2 Type I o Type II?
Type I certifica que los controles están diseñados bien (punto en el tiempo). Type II certifica que operan efectivamente durante un período (generalmente 6-12 meses). Para venderle a empresas USA, Type II es lo que casi siempre piden — Type I es punto de inicio pero insuficiente para la mayoría de los casos.
¿Puedo implementar ambas al mismo tiempo sin duplicar trabajo?
Sí. ISO 27001 y SOC 2 tienen 60-70% de solapamiento en controles. Un Information Security Management System (ISMS) bien diseñado sirve para ambas. El trabajo extra es principalmente documentación específica de cada framework. Muchas empresas maduras tienen ambas porque el incremental de trabajo es bajo una vez que tenés el ISMS.
¿Diesel/Drokio incluye la certificación o ayuda a obtenerla?
Diesel incluye implementación y mantenimiento del sistema de gestión de seguridad de la información (ISMS), que es el requisito central de ambas. Incluye auditoría externa anual. No emitimos nosotros la certificación — eso lo hace el auditor externo independiente (típicamente BSI, SGS, Bureau Veritas o equivalente en LATAM). Lo que Diesel hace es dejar todo listo para pasar la auditoría sin stress.
¿Qué pasa si fallo la auditoría externa?
Los auditores emiten 'findings' (no-conformidades). Las mayores deben remediar antes de certificar; las menores tenés un plazo para remediar (generalmente 90 días). Fallar directamente la certificación es raro — más común es que la auditoría identifique gaps y te den tiempo de arreglar antes de emitir certificado. Con buena preparación previa, la mayoría de auditorías pasan sin drama.