Cuprins
- ISO 27001 și SOC 2: două lucruri diferite
- ISO/IEC 27001:2022: ediția și tranziția
- Controalele din anexa A care privesc testarea
- SOC 2: criteriile și cele două tipuri de raport
- Ciclul de certificare ISO, pas cu pas
- Ce dovezi tehnice pregătiți
- ISO 27001 și SOC 2 cu același test
- Cum pregătim testul pentru audit
- Întrebări frecvente
- Surse
În 30 de secunde
- Ediția curentă e ISO/IEC 27001:2022, publicată pe 25 octombrie 2022; certificatele pe ediția 2013 au expirat sau au fost retrase la 31 octombrie 2025 13.
- Anexa A are acum 93 de controale în 4 teme (față de 114 în 14 clauze), dintre care 11 noi 38.
- ISO 27001 nu cere explicit un test de penetrare; controalele se aleg prin evaluarea riscului, dar auditul verifică implementarea și eficacitatea controalelor tehnologice 3.
- În SOC 2, criteriul CC4.1 numește testul de penetrare ca una dintre formele de evaluare acceptate, alături de certificări precum ISO și auditul intern 17.
- Un raport Type 2 acoperă o perioadă de observare (în practică 3–12 luni), deci dovezile trebuie să existe pe toată perioada, nu doar la final 2024.
- ISO 27001
- ediția 2022 1
- Anexa A
- 93 de controale 3
- Ciclu ISO
- 3 ani, audit anual 14
- SOC 2 Type 2
- perioadă de 3–12 luni 20
ISO 27001 și SOC 2: două lucruri diferite
ISO/IEC 27001 e un standard internațional pentru sistemul de management al securității informației (SMSI). Un organism de certificare acreditat verifică sistemul și emite un certificat valabil trei ani 114. SOC 2 e un raport de asigurare american, emis doar de un auditor CPA, după criteriile de încredere (Trust Services Criteria) ale AICPA 1519.
| Aspect | ISO/IEC 27001 | SOC 2 |
|---|---|---|
| Ce primiți | Un certificat public, pe 3 ani 14 | Un raport de asigurare, distribuit clienților 19 |
| Cine îl emite | Organism de certificare acreditat 12 | Firmă de audit CPA 19 |
| Ce se evaluează | Clauzele 4–10, obligatorii, și controalele din Anexa A alese prin risc 2 | Controalele organizației față de criteriile TSC 15 |
| Unde contează | Europa, licitații, lanțuri de furnizori | Clienți și parteneri din SUA, SaaS |
Multe companii de software care vând în ambele piețe fac ambele. Lucrul bun: aceleași dovezi tehnice servesc la amândouă.
ISO/IEC 27001:2022: ediția și tranziția
A treia ediție a standardului a fost publicată pe 25 octombrie 2022 de comitetul comun ISO/IEC JTC 1/SC 27 13. Nicio cerință din clauzele 4–10 nu poate fi exclusă dacă organizația declară conformitatea 2. Regulile de tranziție le-a stabilit IAF (azi Global Accreditation Cooperation) în documentul MD 26:2023 37.
- 25.10.2022Publicarea ediției 2022
Începe perioada de tranziție de 36 de luni 3.
- feb. 2024
- 30.04.2024Doar ediția 2022 pentru certificări noi
Certificările inițiale și recertificările se fac numai pe ediția 2022 3.
- 31.10.2025Sfârșitul tranziției
Certificatele pe ediția 2013 expiră sau se retrag 3.
Anexa A are acum 93 de controale în patru teme: organizaționale (37), oameni (8), fizice (14) și tehnologice (34). Ediția 2013 avea 114 controale în 14 clauze; dintre cele 93, 11 sunt noi, 24 sunt comasate și 58 actualizate 38. În Republica Moldova, amendamentul din 2024 e adoptat identic ca SM EN ISO/IEC 27001:2023/A1:2024 6.
Controalele din anexa A care privesc testarea
Textul controalelor e protejat de drepturi de autor, așa că le descriem cu vorbele noastre, după tema fiecăruia. Acestea sunt controalele la care un test tehnic aduce dovada cea mai directă 891011.
| Control | Tema | Ce dovadă aduce un test |
|---|---|---|
| 5.7 (nou) | Informații despre amenințări | Scenariile testului pleacă de la amenințările reale ale sectorului |
| 5.35 | Revizuirea independentă a securității | Un tester extern e, prin definiție, o verificare independentă 10 |
| 8.8 | Vulnerabilitățile tehnice | Scanări și teste de penetrare, cu remediere urmărită 9 |
| 8.16 (nou) | Monitorizarea activităților | Ce acțiuni ale testerului au fost observate și ce nu |
| 8.25–8.28 | Dezvoltare sigură, arhitectură, codare sigură (8.28 nou) | Constatările din aplicație arată unde regulile nu sunt aplicate |
| 8.29 | Testarea securității în dezvoltare și la acceptanță | Testul înainte de lansare, cu re-test după remediere |
| 8.34 | Protecția sistemelor în timpul testelor de audit | Testele pe producție se planifică și se aprobă în scris 11 |
SOC 2: criteriile și cele două tipuri de raport
SOC 2 se raportează după Trust Services Criteria 2017, cu punctele de atenție revizuite în 2022. Criteriile nu s-au schimbat atunci, doar punctele de atenție, printre care identificarea amenințărilor și vulnerabilităților în evaluarea riscului și testarea patch-urilor; punctele de atenție nu trebuie îndeplinite toate 1516.
| Criteriu | Ce cere, pe scurt | Unde intră testul |
|---|---|---|
| CC3.2 / CC3.4 | Identificarea riscurilor și a schimbărilor semnificative | Constatările intră în evaluarea riscului |
| CC4.1 | Evaluări continue și/sau separate ale controalelor | Pentestul e una dintre formele numite, alături de certificarea ISO și auditul intern 17 |
| CC7.1 | Detectarea configurărilor care introduc vulnerabilități și a vulnerabilităților noi | Scanări periodice și după schimbări semnificative, cu remediere la timp 18 |
Un raport Type 1 evaluează proiectarea controalelor la o dată. Un raport Type 2 evaluează proiectarea și funcționarea efectivă pe o perioadă, în practică între 3 și 12 luni, cel mai des 6–12; AICPA nu fixează un minim 2024. Unii auditori acceptă o certificare ISO în locul unui pentest pentru CC4.1 — e o opinie de practică, nu o regulă 21.
Ciclul de certificare ISO, pas cu pas
- Etapa 1
Auditorul verifică documentația și pregătirea pentru auditul propriu-zis 14.
- Etapa 2
Se verifică implementarea și eficacitatea sistemului. Aici se cer dovezile tehnice 14.
- Supravegherea
Cel puțin o dată pe an calendaristic; prima, în cel mult 12 luni de la decizia de certificare 14.
- Recertificarea
Înainte de expirarea celor trei ani, pe întregul sistem 14.
Organismele de certificare lucrează acum după ISO/IEC 27006-1:2024, publicat pe 1 martie 2024, care înlocuiește ISO/IEC 27006:2015 12. UKAS, de exemplu, a cerut tranziția până la 31 iulie 2025 13.
Ce dovezi tehnice pregătiți
Ce dovezi tehnice vă cere auditorul?
Practica auditorilor, nu text de standard: nici ISO 27001, nici SOC 2 nu dau o listă fixă. Lista arată ce pregătesc de obicei organizațiile care trec auditul fără neconformități.
0 dovezi tehnice pentru auditul dumneavoastră
- Raportul testului de penetrare, cu perimetrul, data, metoda și constatările ordonate după gravitate.
- Programul scanărilor de vulnerabilități și rezultatele ultimelor rulări (ISO 8.8; SOC 2 CC7.1).
- Tichetele de remediere, cu responsabil și termen pentru fiecare constatare.
- Re-testul care arată că vulnerabilitățile importante au fost închise.
- Declarația de aplicabilitate (SoA) și evaluarea riscului care justifică de ce controalele tehnice sunt incluse și cum se verifică.
- Acordul scris pentru testele pe producție (perimetru, ferestre, cine aprobă) — tema controlului 8.34.
- Legătura cu evaluarea riscului: cum au intrat constatările în analiza amenințărilor și vulnerabilităților (CC3.2, CC3.4).
- Dovezi pe toată perioada de observare: scanări recurente și testul făcut în interiorul perioadei, nu înainte de ea.
- Ce s-a schimbat de la ultimul audit: sisteme noi, constatări redeschise, teste după schimbări semnificative.
- Istoricul pe trei ani: testele, remedierile și re-testele întregului ciclu de certificare.
La Type 2, testul trebuie să cadă în perioada de observare (de obicei 6–12 luni). Planificați-l de la începutul perioadei.
Planificați testul pentru audit →ISO 27001 și SOC 2 cu același test
Un singur test bine documentat poate servi ambelor audituri, dacă perimetrul acoperă sistemele din ambele și raportul conține perimetrul, data, metoda, constatările și re-testul. AICPA a publicat în 2018 o corespondență între criteriile TSC și ISO 27001 22 — e anterioară ediției 2022, deci folosește numerotarea veche a Anexei A.
- Același perimetru, descris o dată, cu sistemele din ambele audituri.
- Testul planificat în perioada de observare SOC 2 Type 2.
- Constatările legate de controalele ISO (8.8, 8.29) și de criteriile SOC 2 (CC4.1, CC7.1).
- Re-testul, cu dată, înaintea auditului.
În Republica Moldova, un certificat ISO/IEC 27001 valabil scutește de anexa HG 562/2025 la Legea securității cibernetice, dar Agenția poate evalua oricum 23. Detalii în ghidul Legii 48/2023.
Cum pregătim testul pentru audit
- Perimetrul din SoA sau din descrierea sistemului
Pornim de la ce ați declarat auditorului, ca testul să acopere exact sistemele auditate.
- Acord scris pentru producție
Ferestre, contacte și limite convenite înainte, în spiritul controlului 8.34.
- Testare manuală
Aplicații, API-uri, cloud sau rețea, după perimetru; scanarea e doar punctul de plecare.
- Raport pentru auditor
Perimetru, dată, metodă, constatări cu gravitate și remediere, plus trimiterea la controalele și criteriile relevante.
- Re-test
După remediere, re-testul închide constatările cu dovadă datată — exact ce caută auditorul.
Întrebări frecvente
ISO 27001 obligă la un test de penetrare?
Mai este valabil un certificat ISO 27001:2013?
Amendamentul de climă din 2024 cere o recertificare?
Un scan de vulnerabilități e suficient pentru SOC 2?
Cât durează perioada unui raport SOC 2 Type 2?
Cine poate emite un raport SOC 2?
Surse
Fiecare afirmație despre lege sau standard trimite la sursa ei oficială. Consultate la data indicată.
- ISO/IEC 27001:2022 — fișa publicației (ediția 3, 25.10.2022)webstore.iec.ch · consultat 22 octombrie 2026
- ISO/IEC 27001:2022 — rezumatul standardului (clauzele 4–10)sis.se · consultat 22 octombrie 2026
- IAF MD 26:2023 — cerințele de tranziție la ISO/IEC 27001:2022iaf.nu · consultat 22 octombrie 2026
- ISO/IEC 27001:2022/Amd 1:2024 — modificările privind climaiso.org · consultat 22 octombrie 2026
- Comunicatul comun IAF–ISO privind amendamentele de climă (februarie 2024)iaf.nu · consultat 22 octombrie 2026
- SM EN ISO/IEC 27001:2023/A1:2024 — adoptarea în Republica Moldovashop.standard.md · consultat 22 octombrie 2026
- Global Accreditation Cooperation (succesoarea IAF și ILAC din 2026)globalaccreditationcooperationincorporated.org · consultat 22 octombrie 2026
- DQS — ce s-a schimbat în ISO 27001:2022 (controalele noi)dqsglobal.com · consultat 22 octombrie 2026
- DQS — controalele 8.8 și 8.9: vulnerabilități tehnice și configuraredqsglobal.com · consultat 22 octombrie 2026
- Advisera — controlul 5.35, revizuirea independentăadvisera.com · consultat 22 octombrie 2026
- ISMS.online — controlul 8.34, protecția sistemelor în timpul testelor de auditisms.online · consultat 22 octombrie 2026
- ISO/IEC 27006-1:2024 — cerințe pentru organismele de certificarewebstore.iec.ch · consultat 22 octombrie 2026
- UKAS — tranziția la ISO/IEC 27006-1:2024ukas.com · consultat 22 octombrie 2026
- Bureau Veritas — condiții tehnice pentru certificarea acreditată (ISO/IEC 17021-1)bureauveritas.com · consultat 22 octombrie 2026
- AICPA — 2017 Trust Services Criteria (cu punctele de atenție revizuite în 2022)aicpa-cima.com · consultat 22 octombrie 2026
- EY — punctele de atenție revizuite ale criteriilor SOC 2 (noiembrie 2022)ey.com · consultat 22 octombrie 2026
- SOC 2 CC4.1 — tipuri de evaluări (punct de atenție)cloudaware.com · consultat 22 octombrie 2026
- SOC 2 CC7.1 — scanarea vulnerabilităților (punct de atenție)cloudaware.com · consultat 22 octombrie 2026
- AICPA — SOC 2: rapoartele de asigurareaicpa-cima.com · consultat 22 octombrie 2026
- Deloitte — asigurare prin rapoartele SOCdeloitte.com · consultat 22 octombrie 2026
- Linford & Co — testarea de penetrare în SOC 2linfordco.com · consultat 22 octombrie 2026
- AICPA — corespondența criteriilor TSC 2017 cu ISO 27001 (2018)aicpa-cima.com · consultat 22 octombrie 2026
- HG nr. 562/2025: obligațiile de securitate cibernetică (Republica Moldova)legis.md · consultat 22 octombrie 2026
- Linford & Co — raportul SOC 2 Type 2linfordco.com · consultat 22 octombrie 2026
Despre autori
Ghidurile le scrie echipa care face testele, nu un departament de marketing. Le actualizăm când se schimbă legea, standardul sau ce vedem în teste.