Certificaciones de un data room: SOC 2, ISO 27001 y qué pedir

En casi toda operación llega un momento concreto: el abogado de la contraparte deja de preguntar por funcionalidades.

Ya no pregunta si la sala tiene marcas de agua. Pregunta quién auditó la plataforma que guarda los documentos del vendedor, y contra qué estándar.

Esa pregunta no se responde con una captura de pantalla. Se responde con un papel que firmó un tercero. De eso trata esta guía.

Vamos a ver qué prueban de verdad SOC 2 e ISO 27001, en qué se separan, qué marcos regionales aparecen a veces y cómo convertir un logotipo de la web en algo que usted ya verificó. El conjunto de controles que estas auditorías respaldan se trata aparte en la guía de funcionalidades de un data room.

Qué es una certificación y por qué pesa tanto

Una certificación de seguridad es la confirmación escrita de un auditor independiente de que los controles de una organización cumplen un estándar definido. Todo su valor está en la palabra “independiente”.

Saca la frase “nuestra plataforma es segura” de la boca del vendedor. La pone en manos de alguien que probó la afirmación y puso su nombre profesional detrás de la respuesta.

En un data room eso importa más que en casi cualquier otro software. Los archivos de dentro son justo la materia prima que un atacante, un filtrador o una contraparte descuidada puede convertir en palanca. Y quien carga con la responsabilidad si escapan es el vendedor.

Un cap table filtrado o un expediente laboral sin tachar no es un ticket de soporte. Es un problema vivo dentro de la transacción, y a veces también una multa.

El costo no es retórico. El Cost of a Data Breach Report 2024 de IBM situó el costo medio global de una brecha en 4,88 millones de dólares, el más alto que había registrado el estudio. También halló que las organizaciones tardaron 258 días de media solo en identificarla y contenerla.

Ningún certificado lleva ese número a cero. Lo que hace es cambiar las probabilidades y el relato: es evidencia documentada de que la plataforma corre un programa de seguridad probado y auditable, no uno improvisado.

SOC 2: primero desaprenda una frase

Empiece por soltar la muletilla habitual. No existe estar “certificado en SOC 2” en el sentido de aprobado o suspenso.

SOC 2 es un marco de reporte del American Institute of Certified Public Accountants (AICPA) que examina los controles de una organización de servicios contra los Trust Services Criteria. Produce un informe, no una insignia.

Ese informe lo escribe una firma de CPA con licencia. Describe los controles y emite una opinión sobre si estaban bien diseñados y, en el caso más fuerte, operando de forma efectiva.

Hay cinco criterios: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. Solo la seguridad, el criterio común, es obligatoria en todo informe. Los otros cuatro aparecen si el proveedor eligió que lo evaluaran contra ellos.

Traducido: dos informes SOC 2 pueden cubrir terreno muy distinto bajo la misma etiqueta de tres letras.

Type I frente a Type II

Aquí vive casi toda la falsa tranquilidad.

Un informe Type I evalúa si los controles están bien diseñados en un único instante. Es una foto del entorno un día concreto.

Un informe Type II va mucho más lejos. Prueba si esos controles operaron efectivamente durante un periodo que suele ir de 3 a 12 meses.

La diferencia es la que hay entre un diseño que se ve correcto en el papel y uno que aguantó rotación de personal, tráfico real e incidentes reales durante meses. Type II es la evidencia más sólida por eso mismo.

Cuando un proveedor agita la bandera de SOC 2, tres preguntas cortas separan una respuesta seria de una esperanzada. ¿Type I o Type II? ¿Cuáles de los cinco criterios? ¿Sobre qué ventana de observación?

Qué hay dentro del informe

Un informe SOC 2 rara vez baja de cuarenta páginas, y casi nada útil está en la portada. Léalo de atrás hacia adelante y aprende más.

Se arma de cuatro partes reconocibles. Las dos últimas son donde un revisor con experiencia invierte el tiempo.

• La opinión del auditor. Una carta breve de la firma de CPA. Una opinión “sin salvedades” es la limpia; una “con salvedades” señala un problema. Lea la redacción en lugar de suponer que cualquier informe equivale a luz verde.
• La declaración de la dirección. Lo que el proveedor dice que hace el sistema y qué límites traza el informe. Aquí se fija el alcance en silencio, y el alcance decide el sentido de todo lo demás.
• La descripción del sistema. El relato de infraestructura, software, personas y flujos de datos dentro de la auditoría. Compruebe que el producto y el entorno que va a usar aparecen por su nombre.
• Las pruebas de controles y sus resultados. En un Type II, la tabla con cada control probado, el procedimiento y el resultado, incluidas las excepciones. Esta sección es el punto de todo el documento.

El error típico es leer la carta de opinión, ver “sin salvedades” y parar. Pero una opinión limpia puede sentarse encima de una tabla llena de excepciones anotadas. Y son esas excepciones, no la portada, las que dicen cómo se comporta la plataforma cuando nadie mira.

Dónde se separa ISO 27001

ISO/IEC 27001 es un estándar internacional publicado por la Organización Internacional de Normalización, y certifica algo estructuralmente distinto de lo que reporta SOC 2.

No describe cómo se desempeñó un conjunto de controles en una ventana. Certifica que la organización opera un sistema formal de gestión de la seguridad de la información, un SGSI: un aparato gobernado, documentado y basado en riesgo para decidir qué controles necesita, implementarlos, medirlos y mejorarlos en bucle.

La revisión de 2022 organiza 93 controles del Anexo A en temas organizativos, de personas, físicos y tecnológicos.

Dicho a lo bruto: SOC 2 pregunta “¿funcionaron los controles?”; ISO 27001 pregunta “¿existe un sistema real para decidir y mantener esos controles?”. No son respuestas rivales a una pregunta; son respuestas a dos preguntas. Por eso tantos proveedores serios tienen ambas.

Esto es especialmente cierto en LatAm, donde una misma sala atiende a un comprador estratégico en Texas y a un fondo con oficina en Madrid en la misma semana.

La lección de las dos columnas no es que un estándar gane. Es que un comprador en Nueva York puede pedir SOC 2 Type II mientras una contraparte en Fráncfort pide ISO 27001, y un proveedor que tiene ambos elimina la objeción antes de que se pronuncie.

Un certificado es la promesa de que alguien competente miró. Nunca es la promesa de que nada pueda salir mal, y leerlo como lo segundo es justo la forma en que un comprador se convence de saltarse la diligencia que de verdad protege la operación.

Los marcos que solo a veces aplican

Más allá de las dos anclas, en las páginas de seguridad de las salas aparece un puñado de marcos específicos de cada régimen. Trátelos como requisitos condicionales que dispara el tipo de dato que va a cargar, no como una lista universal.

Si el disparador no está, el marco es ruido.

• HIPAA, gobernado por el HHS de EE. UU., cubre salvaguardas para información sanitaria protegida. Se activa cuando la sala guarda datos de salud, ciencias de la vida o expedientes médicos.
• Alineación con RGPD, supervisada por reguladores de la UE, aplica a cualquier sala que toque datos personales de un residente europeo. Relevante en cuanto una empresa latinoamericana vende a un grupo con presencia en la UE.
• Alineación con LGPD, la ley brasileña de protección de datos vigilada por la ANPD, aplica cuando la operación toca datos personales de titulares en Brasil. Su lógica se parece a la del RGPD y aparece cada vez más en due diligence sobre activos brasileños.
• FedRAMP es el régimen de seguridad en la nube del gobierno federal de EE. UU. y sale en transacciones del sector público estadounidense.
• PCI DSS gobierna datos de tarjetas y es raro en M&A, porque las salas rara vez procesan pagos.

Dos de estos merecen una corrección que sorprende a la gente. HIPAA no es un certificado que se enmarca; es una obligación regulatoria de EE. UU. Lo que ofrece un proveedor es un Acuerdo de Asociado de Negocio (BAA) más salvaguardas auditadas bajo las reglas del HHS.

El RGPD es igual una regulación y no una insignia. Un proveedor señala su alineación con mecanismos concretos: opciones de residencia de datos, un acuerdo de tratamiento y controles que mapean contra la norma. Lo mismo vale para la LGPD brasileña y para la LFPDPPP mexicana: se piden documentos y controles, no logotipos.

Si alguno de estos regímenes gobierna su operación, pida el documento específico y léalo. No acepte una línea tranquilizadora en una web.

Verificar el certificado, no el logotipo

La verificación es un procedimiento corto y repetible. También es el paso que más compradores se saltan porque sienten que es trabajo de otro. Todo cabe en menos de una hora.

El principio de fondo es simple. Nunca acepte una insignia en una portada como prueba de nada. Pida el documento, mire quién lo emitió y cuándo, y confirme que el alcance nombra el producto y plan exactos que va a usar.

Cómo verificar la certificación de seguridad de un data room

Un pase corto de diligencia para confirmar que una afirmación de certificación es real, vigente y con alcance.

Estimated time: 45min

1. 1

   Pida el documento real

   Solicite el informe SOC 2 (bajo acuerdo de confidencialidad si hace falta) o el certificado ISO 27001, no un resumen ni una imagen de insignia. Un proveedor que no pueda producirlo debería hacerle dudar.

2. 2

   Revise fecha y validez

   Confirme que el periodo de observación del SOC 2 es reciente y que el certificado ISO 27001 está dentro de su ciclo de tres años con las auditorías de vigilancia al día. Los certificados vencidos son comunes y fáciles de pasar por alto.

3. 3

   Lea la declaración de alcance

   Verifique que el certificado o informe nombra el producto, el entorno y el plan que va a usar, no un servicio hermano ni un solo centro de datos. El alcance es donde las afirmaciones se estrechan sin ruido.

4. 4

   Identifique al auditor

   Confirme que un informe SOC 2 lo emitió una firma de CPA con licencia y un certificado ISO 27001 un organismo de certificación acreditado. La documentación autoemitida no es equivalente.

5. 5

   Escanee las excepciones

   En un SOC 2 Type II, lea los controles probados y cualquier excepción anotada. Esa sección dice más sobre la seguridad real que la portada.

Si un proveedor se incomoda ante cualquiera de estas peticiones, trate esa incomodidad como información. Una sala construida para operaciones reguladas espera este escrutinio y tiene los documentos listos bajo confidencialidad.

También es razonable preguntar hace cuánto la plataforma corrió una prueba de penetración. Un SOC 2 o un ISO 27001 vigente suele implicar una, pero la fecha del informe y la de la prueba no son la misma cosa.

El reloj que más se olvida: la vigencia

Una certificación vale tanto como sus fechas. Una vencida está más cerca de no tener certificación que de tener una viva. Ambos estándares expiran, en relojes distintos, y el logotipo de una web no prueba que ninguno siga respirando hoy.

Esa brecha, entre lo que sugiere una página de seguridad y lo que prueba un documento vigente, es el fallo más común de todo el ejercicio. Y es totalmente evitable.

Un informe SOC 2 cubre una ventana de observación fija y se renueva cada año. Suele haber un puente breve entre un informe que termina y el siguiente que se emite; un proveedor serio lo cubre con una “carta puente” de la dirección que confirma que nada material cambió.

Un certificado ISO 27001 corre sobre un ciclo de tres años: auditoría completa al inicio, vigilancias anuales para mantenerlo vivo y una recertificación al final.

La trampa escondida ahí es sutil. Una vigilancia omitida puede suspender el certificado mientras la fecha impresa de expiración sigue mostrando un futuro cómodo. El certificado no se reimprime al suspenderse, así que el papel puede mentir por omisión.

La regla práctica es contundente, y sirve tanto para listas cortas guiadas por seguridad como por precio: lea la fecha del documento real, no el año del logotipo, y compárela con hoy. Si el SOC 2 más reciente es anterior a su operación por más de un ciclo de informe, pida la carta puente o el informe nuevo antes de apoyarse en él.

Qué certificación pide cada tipo de operación

La respuesta honesta a “¿qué certificaciones necesito?” es que casi toda transacción necesita SOC 2 o ISO 27001, y todo lo demás depende del dato dentro de la sala. En vez de perseguir cada acrónimo, ajuste el marco al contexto regulatorio de su operación concreta.

• M&A de mercado medio en México o Colombia con comprador estadounidense. Suele girar sobre SOC 2, con ISO 27001 como extra bienvenido más que requisito.
• Operación transfronteriza con contraparte en la UE. Normalmente quiere SOC 2 e ISO 27001 juntos, más alineación demostrable con RGPD en cuanto entra dato personal europeo.
• Activo brasileño con datos de clientes. Añade la lógica de LGPD y la expectativa de la ANPD sobre tratamiento de datos personales locales.
• Salud y ciencias de la vida. Se apoya en SOC 2 y, si hay información sanitaria protegida de EE. UU., en un BAA de HIPAA, con ISO 27001 preferible.
• Servicios financieros en Chile o Brasil. Los compradores institucionales suelen esperar ambos estándares principales.
• Ronda temprana de una startup regional. Suele arreglarse con un SOC 2 de base, y el resto opcional hasta que el cap table y las contrapartes crezcan.

Lea ese mapa como posición de partida para sus equipos legal y de seguridad, nunca como sustituto. Un comprador institucional conservador puede subir el listón en cualquier fila, y un sector regulado de nicho puede sumar un marco que este patrón no nombra.

Un carve-out sanitario y una adquisición transfronteriza pedirán papeles muy distintos, por eso las guías de sector sobre VDR para ciencias de la vida y la mejor sala para servicios financieros profundizan en cada caso. El objetivo es llegar a la conversación con el proveedor sabiendo ya qué exigir.

Lo que una certificación no promete

Conviene ser preciso con el techo de lo que compra un certificado, porque sobreinterpretar una insignia es su propio riesgo.

Un certificado prueba que un sistema de seguridad fue auditado contra un estándar. No prueba que la plataforma sea inviolable, que cada nivel de plan comparta el mismo alcance, ni que los controles que a usted le quitan el sueño estuvieran siquiera dentro de la auditoría.

Ese último hueco es el que más se subestima. El SGSI más fuerte jamás montado no detiene un enlace compartido mal configurado, y la configuración está de su lado de la mesa, no del proveedor.

Por eso los pasos de verificación terminan donde terminan, en las excepciones. Una portada limpia sobre un informe lleno de desviaciones anotadas es un objeto distinto de un informe limpio, y solo abrir el documento los distingue.

Una certificación tampoco dice nada de cómo opera su propio equipo la sala. El certificado y los controles hay que leerlos juntos. Los mecanismos que la auditoría atestigua son las mismas funciones que usará cada hora de la operación:

• Accesos. El criterio común de SOC 2 y el tema de control de accesos de ISO 27001 auditan quién llega a qué. En la sala eso son permisos granulares y acceso por roles, tratados en la guía de permisos.
• Trazabilidad. Ambos estándares esperan registro y monitorización. En la práctica, el registro de auditoría que anota cada vista, descarga e impresión.
• Cifrado. Aparece como cifrado en reposo y en tránsito, más opciones de residencia de datos para regiones reguladas.

Visto así, el certificado no es una casilla paralela a la lista de funciones. Es la evidencia de que la lista de funciones es más que copia de marketing.

Dónde encaja la certificación en la decisión

Todo esto deja un lugar limpio para la certificación en la forma real de elegir una sala. Trátela como filtro de calificación primero y como factor de comparación un segundo lejano.

Descarte, sin sentimentalismo, a cualquier proveedor que no pueda producir un SOC 2 o un ISO 27001 vigente y con alcance para el plan que pretende contratar. Luego compare a los que sobrevivan por lo que de verdad los separa: funcionalidades, soporte y precio.

Como casi toda plataforma creíble supera el listón, la certificación rara vez decide el ganador por sí sola. Decide quién entra en la lista corta. Proveedores que reseñamos como iDeals y Datasite publican los dos estándares principales, y opciones como Ellty incorporan seguridad auditada en su oferta estándar. Aun así, la jugada fiable es siempre confirmar el certificado vigente y su alcance en lugar de suponer paridad porque dos logotipos estén juntos.

Desde ahí la conversación se mueve hacia los controles bajo los que se sitúa la certificación, que es donde vive el resto de su investigación. La guía de funcionalidades recorre permisos, marcas de agua y registros de auditoría; el recorrido de cómo funciona una VDR muestra dónde viven esos controles en una operación real; y la página de mejores salas para M&A sopesa la certificación junto con todo lo demás.

Preguntas frecuentes

¿Es mejor SOC 2 o ISO 27001 para un data room?

Ninguno es estrictamente mejor; responden preguntas distintas. SOC 2, sobre todo Type II, reporta si los controles operaron efectivamente durante un periodo y es la expectativa habitual en EE. UU. ISO 27001 certifica un sistema internacional y gobernado de gestión de la seguridad y se pide más en la UE y Asia-Pacífico. Los proveedores que atienden operaciones globales suelen tener ambos.

¿Qué diferencia hay entre SOC 2 Type I y Type II?

Type I evalúa si los controles están bien diseñados en un único instante. Type II prueba si esos controles operaron de forma efectiva durante un periodo de observación, normalmente de 3 a 12 meses. Type II es la evidencia más sólida porque demuestra que los controles aguantaron en la práctica, así que pregunte qué tipo tiene un proveedor y sobre qué ventana.

¿Necesito alineación con LGPD o RGPD en mi sala?

Solo si sus datos lo activan. La LGPD brasileña aplica cuando la operación toca datos personales de titulares en Brasil, con la ANPD como referencia; el RGPD aplica cuando hay datos personales de residentes de la UE. En ambos casos se señalan mediante residencia de datos, un acuerdo de tratamiento y controles correspondientes, no mediante un certificado que se solicite sin más.

¿Cada cuánto se renuevan estas certificaciones?

Un informe SOC 2 cubre un periodo de observación definido, comúnmente renovado cada año, a menudo con una carta puente entre informes. Un certificado ISO 27001 suele ser válido unos tres años, con auditorías de vigilancia anuales y una recertificación al final del ciclo. Los certificados vencidos son una trampa común, así que compruebe siempre las fechas.

La conclusión, reducida a una frase: la certificación mete a un proveedor en su lista corta, y leer el documento real lo mantiene ahí. Una vez que sepa qué estándares exige su operación, la forma más rápida de filtrar es verlos registrados frente a cada proveedor a la vez. La comparación completa enumera las certificaciones de seguridad junto a las funcionalidades y los precios en USD, todas las cifras orientativas y que conviene confirmar con el proveedor.