Glossaire de sécurité

SOC 2 face à ISO 27001

Les deux permettent de démontrer que vous prenez la sécurité de l'information au sérieux, et les clients demandent souvent l'un ou l'autre. Mais ils viennent de mondes différents (un cadre comptable américain d'un côté, une norme internationale de l'autre) et se prouvent de manières différentes. Aucun cabinet de conseil ne peut simplement vous remettre l'un ou l'autre.

SOC 2 : un rapport d'attestation

SOC 2 est un examen par rapport aux AICPA Trust Services Criteria : Security (les Common Criteria obligatoires) plus, en option, Availability, Processing Integrity, Confidentiality et Privacy. Le résultat est un rapport, établi et émis par un cabinet CPA agréé indépendant. Un rapport de Type I évalue la conception des contrôles à un instant donné ; un rapport de Type II évalue leur efficacité opérationnelle sur une période (généralement 3 à 12 mois). Il est largement attendu des fournisseurs SaaS, en particulier aux États-Unis.

ISO 27001 : un standard certifiable

ISO/IEC 27001:2022 est un standard international pour un système de management de la sécurité de l'information (SMSI). Vous construisez un système de management (articles 4 à 10) et sélectionnez des contrôles dans l'Annexe A (93 contrôles répartis en quatre thèmes), puis un organisme de certification accrédité l'audite en deux étapes et, si vous réussissez, délivre un certificat valable trois ans avec audits de surveillance. Il est reconnu mondialement et souvent préféré hors des États-Unis.

En quoi ils diffèrent

SOC 2 produit un rapport détaillé qu'un client lit sous NDA ; ISO 27001 produit un certificat ainsi qu'une Déclaration d'applicabilité. SOC 2 est attesté par un cabinet CPA par rapport aux Trust Services Criteria ; ISO 27001 est certifié par un organisme accrédité par rapport à la norme. Les contrôles sous-jacents se recoupent fortement, si bien que de nombreuses organisations visent les deux et réutilisent leurs preuves. Les mécanismes de preuve restent toutefois distincts et indépendants.

Là où un cabinet de conseil intervient (et là où il n'intervient pas)

C'est le point important. Un cabinet de conseil peut vous préparer avec une analyse d'écart, des contrôles, des politiques, un audit interne et les tests d'intrusion qui prouvent l'efficacité des contrôles techniques. Mais il ne peut émettre ni le rapport SOC 2 ni le certificat ISO 27001. Ceux-ci doivent provenir respectivement d'un cabinet CPA indépendant et d'un organisme de certification accrédité. Vexaro fournit la préparation et le test d'intrusion associé ; l'attestation provient toujours de l'évaluateur indépendant.

Questions fréquentes

SOC 2 est un examen au regard des Trust Services Criteria de l'AICPA, dont le résultat est un rapport émis par un cabinet d'expertise comptable (CPA) indépendant et agréé. ISO/IEC 27001:2022 est une norme internationale de système de management de la sécurité de l'information, certifiée par un organisme accrédité qui délivre un certificat valable trois ans, avec des audits de surveillance.

Non. Un cabinet de conseil peut vous préparer (analyse d'écarts, contrôles, politiques, audit interne et tests d'intrusion qui attestent des contrôles techniques), mais il ne peut émettre ni le rapport SOC 2 ni le certificat ISO 27001. Ceux-ci doivent provenir respectivement d'un cabinet CPA indépendant et d'un organisme de certification accrédité.

Un rapport de type I évalue la conception des contrôles à un instant donné ; un rapport de type II évalue leur efficacité opérationnelle sur une période, généralement de 3 à 12 mois.

Parlez à un vrai praticien.

Une question à laquelle ces pages n'ont pas répondu ? Dites-nous ce que vous cherchez à protéger et nous vous orienterons vers la mission adaptée. La première consultation est gratuite.