ISO 27001 vs SOC 2: apa perbedaannya?

Itu ISO 27001 dan itu SOC 2 mereka hampir selalu disebutkan bersama-sama, dalam kalimat yang sama, seolah-olah keduanya dapat dipertukarkan. Keduanya menunjukkan kepada pihak ketiga bahwa perusahaan Anda melindungi informasinya dengan baik, namun keduanya muncul di benua yang berbeda, memiliki struktur yang berbeda, dan tidak memiliki bobot yang sama bergantung pada siapa yang harus membacanya. Membingungkan mereka dapat membuat Anda menginvestasikan waktu berbulan-bulan dan banyak anggaran untuk hal yang bahkan tidak diminta oleh pasar Anda.

Namun mereka memiliki banyak kesamaan. Keduanya didasarkan pada audit eksternal, mereka berbagi sekitar 80% kendali mereka dan mereka bertujuan untuk tujuan yang sama, untuk menginspirasi kepercayaan pada pelanggan dan mitra. Perbedaannya bukan terletak pada apa yang mereka lindungi, namun pada bagaimana mereka mensertifikasinya dan kepada siapa.

Pada artikel ini kami menjelaskan apa itubagaimana perbedaannya dan kapan sebaiknya memilih salah satu saja dari keduanya atau fokus pada keduanya, sehingga Anda dapat memahami dengan tepat apa yang diminta pasar dari Anda dan apa yang dibutuhkan perusahaan Anda.

Apa itu ISO 27001?

ISO 27001 (secara resmi ISO/IEC 27001) adalah standar internasional yang menetapkan persyaratan untuk menerapkan, memelihara, dan meningkatkan Sistem Manajemen Keamanan Informasi (ISMS). Versi terbarunya mulai Oktober 2022 dan merupakan referensi paling dikenal di dunia dalam bidang ini, hadir di lebih dari 150 negara.

Kekhasan terbesarnya adalah dapat disertifikasi. Organisasi mana pun, terlepas dari ukuran dan sektornya, dapat menjalani audit eksternal yang dilakukan oleh badan terakreditasi (di Italia, diakreditasi oleh AKREDIA) e memperoleh sertifikat resmi dengan validitas internasional. Sertifikat ini berlaku selama tiga tahun, dengan audit pengawasan tahunan.

Aturannya dibagi menjadi dua blok. Di satu sisi, klausul wajib (4 hingga 10), yang menjelaskan cara membangun dan mengoperasikan SMKI. Di sisi lain,Lampiran Adengan 93 kontrol keamanan yang dikelompokkan menjadi empat kategori. Setiap organisasi memotivasi mana yang akan menerapkan kasusnya dalam Pernyataan Penerapan (SoA). Ini juga merupakan titik awal yang biasa untuk menangani peraturan Eropa lainnya seperti arahan NIS2, yang diterapkan di Italia dengan Keputusan Legislatif 138/2024.

Poin-poin penting ISO 27001

• Standar Internasional: standar referensi untuk Sistem Manajemen Keamanan Informasi (ISMS).
• Dapat disertifikasi: badan terakreditasi mengeluarkan sertifikat resmi yang berlaku selama tiga tahun, dengan audit pengawasan tahunan.
• Pendekatan manajemen: mendefinisikan apa yang harus dilakukan organisasi untuk mengelola keamanan secara berkelanjutan.
• 93 kontrol: Lampiran A mengumpulkan kontrol keamanan, yang disusun dalam empat kategori (organisasi, manusia, fisik, dan teknologi).
• Pengakuan Global: sangat populer di UE, Inggris, sektor publik, dan pelanggan perusahaan internasional.
• Dasar peraturan lainnya: titik awal yang biasa untuk mematuhi NIS2 dan kewajiban keamanan siber lainnya.

Apa itu SOC 2?

Ini SOC 2 (Pengendalian Sistem dan Organisasi 2) adalah kerangka audit yang dikembangkan oleh AICPA (Institut Akuntan Publik Amerika), badan akuntan Amerika. Evaluasi bagaimana organisasi layanan melindungi data yang dipercayakan pelanggan kepadanya dan sangat populer di kalangan perusahaan SaaS, penyedia cloud, dan perusahaan teknologi.

Berbeda dengan ISO 27001, SOC 2 ini bukan sertifikasi. Audit diakhiri dengan laporan pengesahan yang dikeluarkan oleh kantor akuntan publik (akuntan publik bersertifikat di Amerika Serikat), di mana auditor menyatakan pendapatnya tentang desain dan pengoperasian pengendalian perusahaan. Tidak ada “sertifikat SOC 2” untuk digantung di dinding. Apa yang Anda dapatkan adalah laporan rinci yang dibaca pelanggan atau investor, biasanya berdasarkan perjanjian kerahasiaan.

Penilaian didasarkan pada lima Kriteria Layanan Tepercaya (Kriteria Layanan Kepercayaan), yang mana hanya satu hal tentang keselamatan saja yang wajib. Setiap perusahaan memutuskan mana dari empat perusahaan lainnya yang akan disertakan, sehingga menjadikan SOC 2 kerangka fleksibel yang masing-masing menentukan batasnya sendiri. Laporan tersebut dapat berupa Tipe I, yang mengevaluasi rancangan pengendalian pada suatu titik waktu tertentu, atau Tipe II, yang juga mengukur efektivitasnya selama periode enam hingga dua belas bulan dan dianggap sebagai jaminan yang paling kuat.

SOC 2 poin penting

• Kerangka AS: dikembangkan oleh AICPA dan tersebar luas di AS dan di ekosistem SaaS.
• Laporan, bukan sertifikasi: hasilnya adalah laporan pengesahan yang dikeluarkan oleh perusahaan CPA.
• Lima Kriteria Layanan Terpercaya: keamanan (wajib), ketersediaan, integritas pemrosesan, kerahasiaan dan privasi.
• Perimeter fleksibel: setiap perusahaan memilih pengendalian dan kriteria untuk disertakan dalam audit.
• Tipe I dan Tipe II: Tipe I mengevaluasi desain pengendalian, Tipe II mengevaluasi efektivitasnya selama periode waktu tertentu.
• Berorientasi pelanggan dan investor: umum dalam proses uji tuntas dan pemilihan pemasok di AS.

Perbedaan antara ISO 27001 dan SOC 2

Meskipun mereka berbagi banyak kendali dan mempunyai tujuan yang sama yaitu melindungi informasi, cara kerjanya berbeda. ISO 27001 mengesahkan sistem manajemen yang lengkap. SOC 2 merilis laporan tentang serangkaian kontrol yang dipilih. Inilah perbedaan utama antara keduanya.

Kriteria	ISO 27001	SOC 2
Asal	ISO/IEC (internasional)	AICPA (Amerika Serikat)
Jenis hasil	Sertifikasi resmi	Laporan pengesahan
Siapa yang melakukan audit	Lembaga sertifikasi terakreditasi	Perusahaan CPA berlisensi
Apa yang Anda dapatkan	Sertifikat dengan hasil positif atau negatif	Laporan rinci dengan opini auditor
Mendekati	Persyaratan SMKI yang lengkap	Kontrol pada layanan tertentu
Fleksibilitas	Struktur yang preskriptif dan terstandarisasi	Fleksibel, perusahaan menentukan perimeternya
Pengakuan	Global, berperingkat tinggi di UE	Dominan di AS
Keabsahan	Tiga tahun dengan audit tahunan	Tipe II mencakup jangka waktu 6-12 bulan
Mode	Sertifikasi unik	Tipe I dan Tipe II

Kapan memilih ISO 27001 atau SOC 2?

Dalam praktiknya, pilihan tidak terlalu bergantung pada mana yang “lebih baik” dan lebih bergantung pada lokasi pelanggan Anda dan apa yang mereka minta dari Anda. Kedua kerangka kerja ini kuat dan berbagi sekitar 80% kendalijadi mengerjakan satu hal sudah memberi Anda bagian yang baik dari yang lain.

Jika pasar Anda adalah Eropa, Anda menjualnya ke administrasi publik atau berpartisipasi dalam tenderpilihan alaminya adalah ISO 27001. Ini adalah standar yang diakui oleh regulator, badan publik, dan pelanggan perusahaan di UE, dan dikombinasikan dengan peraturan seperti GDPR, NIS2, atau kewajiban keamanan siber nasional. Bagi sebagian besar perusahaan Italia yang ingin menunjukkan kedewasaan dalam bidang keamanan, ini adalah titik awalnya.

Jika pelanggan atau investor Anda berada di Amerika Serikatterutama di dunia SaaS atau teknologi, kemungkinan besar mereka akan meminta laporan dari Anda SOC 2. Dalam banyak proses pembelian di Amerika, hal ini telah menjadi persyaratan de facto, hingga beberapa pelanggan tidak mau melanjutkan dengan pemasok yang tidak dapat menunjukkannya.

Dan jika perusahaan Anda beroperasi di kedua sisi Atlantik, hal yang paling masuk akal adalah mempertimbangkan keduanya. Di sini urutannya penting. Biasanya jalur yang paling efisien adalah dengan terlebih dahulu melakukan sertifikasi dengan ISO 27001, yang menyusun keseluruhan SGSI, dan kemudian mengandalkan pekerjaan tersebut untuk laporan SOC 2. Mengambil rute sebaliknya biasanya lebih mahal, karena memaksa Anda untuk memasang seluruh sistem manajemen pada basis yang tidak dirancang untuk ini.

Bagaimana TI Faktorial membantu Anda dengan ISO 27001 dan SOC 2?

ISO 27001 dan SOC 2 memerlukan jenis bukti teknis yang sama, namun dari sudut yang berbeda. ISO melihat apakah kontrol diintegrasikan ke dalam sistem manajemen Anda. SOC 2 memeriksa apakah ia bekerja terus menerus sepanjang periode yang diaudit. TI faktorial menghasilkan bukti ini secara otomatis, dalam operasi sehari-hari, dan hal ini persis seperti yang divalidasi oleh auditor Tipe II.

Dalam praktiknya, ini mencakup kontrol akses, perangkat, dan inventaris yang diperiksa oleh kedua kerangka kerja tersebut. Untuk ISO 27001, dokumen tersebut tetap didokumentasikan dan dapat diekspor untuk Deklarasi Penerapan. Untuk SOC 2 mereka memenuhi kriteria keamanan, dengan offboarding disinkronkan dengan HR yang mencabut akses pada saat keluar dan melacaknya.

• Inventaris taman TI: katalog otomatis perangkat, perangkat lunak, dan akses, dapat diekspor sebagai bukti untuk SoA ISO 27001 dan untuk perimeter SOC 2.
• Manajemen akses: Izin alat SaaS ditetapkan dan dicabut berdasarkan peran, berdasarkan kontrol ISO A.5.15 dan kriteria keamanan SOC 2.
• Keamanan Perangkat: enkripsi, kata sandi, dan kunci diterapkan pada setiap perangkat, dengan riwayat status untuk menunjukkan kontrol dari waktu ke waktu.
• Keluar dari pesawat dengan aman: ketika seorang karyawan dinonaktifkan di HR, semua akses mereka ditutup tanpa intervensi manual dan jejak tetap ada untuk auditor.
• Bukti audit: laporan kepatuhan yang dihasilkan secara otomatis, siap diekspor untuk sertifikasi ISO dan pelaporan Tipe II.

Artikel terkait lainnya: