Las Publicaciones del Instituto Nacional de Estándares y Tecnología (NIST) y el Informe de Control de la Organización de Servicios 2 (SOC 2) son caras opuestas de la misma moneda. Ambos son estándares internacionales que tienen como objetivo analizar los controles internos de una organización, pero los hacen de diferentes maneras y ponen énfasis en distintas áreas de la seguridad de los datos. Muchos confunden SOC 1, SOC 2 y SOC 3 cuando se trata de lo que se aplica a una organización de servicios.

En general, SOC 2 permite a las organizaciones obtener una certificación de cumplimiento, mientras que NIST proporciona un marco voluntario para la seguridad de la información y los controles de privacidad de un programa de ciberseguridad y ayuda a establecer controles de organización de servicios. NIST ayuda a una organización a desarrollar controles organizacionales y gestión de riesgos para un programa de seguridad de la información.

Una forma rápida de recordar cuál se aplica en cada caso:

• Los Informes SOC 1 son controles internos relacionados con las finanzas de una organización.
• Un informe SOC 2 analiza los controles que afectan la seguridad de la información, la disponibilidad, la integridad del procesamiento, la confidencialidad de los datos y la privacidad de la organización con los controles de cumplimiento descritos por el Instituto Americano de Contadores Públicos Certificados (AICPA).
• Los informes SOC 2 y SOC 3 cubren el mismo tema, pero la diferencia radica en su público objetivo. Los informes SOC 3 se dirigen a un público más general y tienden a ser más breves y menos detallados que las auditorías SOC 2. A menudo se utilizan para demostrar el cumplimiento de SOC 2/3 para posibles clientes y para marketing.

NIST CSF es un punto de partida funcional para comenzar a construir una estrategia de ciberseguridad empresarial. Es un punto de referencia clave para los estándares, las pautas y las mejores prácticas para administrar el ciclo de vida de las amenazas. En cambio, SOC se puede aplicar para guiar, evaluar, mejorar y entregar métricas de seguridad clave y establecer un enfoque de madurez para proteger la empresa.

Fuente: Reciprocity Labs