SOC 2 или ISO 27001: что выбрать стартапу в 2026 году
Команда безопасности CyberLord Профиль автора
«Пришлите отчёт SOC 2, иначе мы не сможем подписать договор» — эту фразу к 2026 году слышал почти каждый основатель B2B-стартапа. Комплаенс перестал быть дополнением к продукту и стал условием сделки. Но при ограниченном бюджете выбор между SOC 2 и ISO 27001 превращается в спор: оба стандарта подтверждают безопасное обращение с данными, оба требуют внешнего аудита, а неверный выбор стоит полугода и десятков тысяч долларов.
Короткий ответ
- Первые корпоративные клиенты в Северной Америке — начинайте с SOC 2. Отчёт понятен закупке, а Type I реально получить за один квартал.
- Клиенты в Европе, Азии или госсектор — ISO 27001. В Германии, Франции и Нидерландах его спрашивают по имени, и подменить его отчётом SOC 2 часто не получается.
- Нужны оба — сначала SOC 2: он быстрее снимает блокер продаж, а наработанные контроли почти целиком переносятся в ISO.
Практическое правило: география и отрасль первых десяти договоров, которые вы хотите закрыть, определяют выбор лучше любой статьи.
Чем отличаются документы на выходе
SOC 2 — это не сертификат, а отчёт об аттестации. Его выпускает независимая аудиторская фирма, и в отчёте сказано: описанные контроли спроектированы корректно и (для Type II) работали в течение проверяемого периода.
ISO 27001 — сертификат, выданный аккредитованным органом. Результат бинарный: прошли или нет. Сертификат действует три года, с ежегодными надзорными аудитами и полной ресертификацией на третий год.
SOC 2 отвечает на вопрос «делаете ли вы то, что заявили», ISO 27001 — «есть ли у вас работающая система управления информационной безопасностью».
SOC 2: как устроена аттестация
Стандарт разработан AICPA и строится вокруг пяти критериев доверительных услуг. Обязателен только первый, остальные добавляют по запросу заказчиков.
Пять критериев
- Безопасность. Базовый набор: управление доступом, мониторинг, реагирование на инциденты, управление изменениями.
- Доступность. Обязательства по времени работы и производительности.
- Конфиденциальность. Защита информации, которую вы обозначили как конфиденциальную.
- Целостность обработки. Полнота и точность обработки данных.
- Приватность. Обращение с персональными данными в соответствии с вашим уведомлением.
Большинство стартапов начинает с безопасности. Доступность добавляют SaaS-компании с SLA, приватность всё чаще требуют заказчики с обязательствами по GDPR.
Type I и Type II
Type I — срез на дату: аудитор проверяет, что контроли спроектированы правильно. Подготовка занимает два-четыре месяца, отчёт снимает первое возражение закупки.
Type II — проверка за период от шести до двенадцати месяцев: работали ли контроли на практике. Его требуют зрелые клиенты, и он превращает комплаенс в постоянную практику, а не в кампанию перед сделкой.
Что аудитор попросит показать
- журналы доступа с подтверждением, что привилегированные права пересматривались каждый квартал;
- записи об инцидентах: как обнаружили, что сделали, сколько времени заняло;
- заявки на изменения, где видно ревью безопасности до выкладки в продуктив;
- отчёт о тестировании на проникновение — автоматический сканер не принимается;
- оценки рисков критичных подрядчиков;
- подтверждение обучения сотрудников.
Собирать это нужно системно, а не за две недели до аудита. Платформы автоматизации подключаются к GitHub, Okta, AWS и трекеру задач, но подменять аудитора нельзя: заключение подписывает независимая фирма.
ISO 27001: сертификация и система управления
Здесь проверяют не набор контролей, а систему управления — документированный, повторяемый подход к рискам информационной безопасности. В неё входят методика оценки рисков и план их обработки, реестр активов с владельцами, заявление о применимости, управленческие обзоры с участием руководства, программа внутренних аудитов и политики по каждому применимому контролю.
Поэтому ISO 27001 дольше: вы строите управленческую надстройку, а не отмечаете пункты в чек-листе.
Приложение A
Стандарт содержит 114 контролей в 14 категориях, от физической безопасности до криптографии и отношений с поставщиками. Часть физических требований облачный стартап обоснованно исключает через заявление о применимости, но каждое исключение нужно аргументировать.
Что чаще всего недооценивают: управление техническими уязвимостями, безопасность в разработке (правила безопасного кодирования, ревью, тесты), оценку поставщиков с доступом к вашим системам и порядок реагирования на инциденты, который проверяют на практике, а не только на бумаге.
Бюджет первого года
Вилка для стартапа на 30–80 человек.
SOC 2, тип I: анализ разрыва и подготовка — 5–15 тысяч долларов, платформа автоматизации — 8–15 тысяч в год, тестирование на проникновение — 8–15 тысяч, аудит — 12–20 тысяч. Итого 33–65 тысяч.
ISO 27001: внедрение системы управления — 15–35 тысяч, обязательный внутренний аудит — 3–8 тысяч, тестирование на проникновение — 8–15 тысяч, аудиты первой и второй стадии — 15–30 тысяч. Итого 41–88 тысяч, плюс надзорные аудиты во втором и третьем году.
Тестирование на проникновение — обязательная строка в обоих бюджетах: аудитор проверит отчёт. Ориентиры по стоимости такой работы мы разбираем в материале о цене пентеста в 2026 году.
Ошибки, которые дорого обходятся
- Поздний старт. Начинать за месяц до запроса от клиента — значит потерять три-шесть месяцев сделок.
- Случайный аудитор. Не все фирмы понимают облачные SaaS-модели. Ищите тех, у кого есть практика в вашей отрасли.
- Нет доказательств контроля доступа. Самая частая претензия. Квартальные обзоры прав нужно ввести с первого дня, а не восстанавливать задним числом.
- Пропущенный пентест. Его требуют оба стандарта, и сканирование уязвимостей не заменяет ручную проверку.
- Комплаенс как проект с финалом. После отчёта процессы должны продолжаться: иначе следующий аудит упрётся в пустые журналы.
Комбинированная стратегия
На уровне контролей стандарты пересекаются примерно на 75–80%. Если вы выстроили управление доступом, журналирование, управление изменениями и реагирование на инциденты для SOC 2, фундамент ISO 27001 у вас уже есть — остаётся описать систему управления.
Разумная последовательность: SOC 2 Type I в первые четыре месяца, затем период наблюдения для Type II, параллельно с шестого по двенадцатый месяц — документация системы управления, и сертификация ISO 27001 на горизонте 12–18 месяцев. Параллельный путь обычно на 30–40% дешевле двух независимых проектов.
Как подготовиться без штатного комплаенс-офицера
Стартапу редко нужен человек, который занимается только комплаенсом. Роль закрывает внешний партнёр в формате fractional CISO: проводит анализ разрыва, пишет политики человеческим языком, организует тестирование на проникновение, готовит доказательства и проводит учебный аудит до официального. Заодно проверяется гигиена доступа — например, по чек-листу при увольнении, где чаще всего находятся забытые привилегии. Если нужен план под ваш бюджет, свяжитесь с командой.
Частые вопросы
Заменит ли SOC 2 требования европейских клиентов? Иногда да, если заказчика интересуют контроли доступа и защита данных. Но в Германии и Нидерландах чаще просят именно ISO 27001. Если больше пятой части пайплайна — Европа, идите в ISO.
Сколько занимает SOC 2 Type I с нуля? При нормальной подготовке — 8–16 недель до готовности, сам аудит — 2–4 недели. От старта до отчёта обычно 3–5 месяцев.
Платформа автоматизации заменяет аудитора? Нет. Она собирает и упорядочивает доказательства, но заключение подписывает независимая фирма или аккредитованный орган.
Можно ли обойтись без пентеста? Нет. Оба стандарта требуют внешней проверки, аудитор запросит отчёт с методикой и объёмом.
Что делать, если клиент просит оба отчёта сразу? Начните с SOC 2 Type I, а клиенту покажите план сертификации ISO с датами. На практике это почти всегда принимается.