SOC 2 è il framework di audit americano (AICPA) per i fornitori di servizi che gestiscono dati altrui – di fatto il pedaggio per vendere SaaS negli USA: i clienti enterprise chiedono "il SOC 2" come in Europa chiedono la ISO 27001.
Come funziona: un auditor valuta i controlli rispetto ai Trust Service Criteria (sicurezza sempre; disponibilità, integrità, confidenzialità e privacy se pertinenti). Il Type I fotografa i controlli a una data; il Type II – quello che conta davvero – verifica che abbiano funzionato per un periodo di 3-12 mesi. Il risultato non è un certificato ma un report riservato da condividere sotto NDA.
ISO vs SOC 2 in una riga: la ISO certifica il sistema di gestione (mercato europeo/internazionale), SOC 2 attesta l'efficacia operativa dei controlli (mercato USA). Chi vende su entrambe le sponde spesso finisce per fare entrambi – la buona notizia è che i controlli sottostanti (logging, accessi, backup) sono in gran parte gli stessi.