En bref
Choisissez en fonction de l'endroit où se trouvent vos acheteurs. Au Royaume-Uni, en Europe et dans la plupart des autres pays, les acheteurs demandent l'ISO 27001 ; aux États-Unis, ils demandent généralement un rapport SOC 2. Les deux se recoupent largement : préparez-vous donc une seule fois et passez l'audit qu'exige votre prochain contrat. Qorelo, start-up allemande d'IA, a obtenu l'ISO 27001 en six semaines environ, sans aucune non-conformité, puis a mené à bien un examen SOC 2 Type I.
L'autre différence compte dans les échanges commerciaux : l'ISO 27001 aboutit à un certificat délivré par un organisme de certification accrédité. SOC 2 aboutit à un rapport et à une opinion émis par un cabinet d'expertise comptable agréé (CPA firm). Il n'existe pas de certificat SOC 2.
Parler de votre projet ISO à un fondateur · Lire l'étude de cas Qorelo
L'ISO 27001 et SOC 2 côte à côte
| ISO 27001 | SOC 2 | |
|---|---|---|
| Ce que c'est | Une norme internationale pour un système de management de la sécurité de l'information (SMSI) | Un examen de vos contrôles au regard des Trust Services Criteria de l'AICPA |
| Ce que vous obtenez | Un certificat | Un rapport avec l'opinion de l'auditeur |
| Qui le délivre | Un organisme de certification accrédité (au Royaume-Uni, par l'UKAS) | Un cabinet CPA agréé |
| Qui le demande | Les acheteurs au Royaume-Uni, en Europe et dans la plupart des autres pays | Les acheteurs américains, et les entreprises à capitaux américains ailleurs |
| Ce qu'il couvre | Votre SMSI, plus les mesures de l'annexe A que vous retenez dans votre Déclaration d'applicabilité (93 dans la version 2022) | Toujours la sécurité ; la disponibilité, l'intégrité du traitement, la confidentialité et la protection de la vie privée si vous les ajoutez |
| Durée de validité | Trois ans, avec des audits de surveillance la deuxième et la troisième année | Un rapport couvre une date donnée (Type I) ou une période (Type II) ; les acheteurs en demandent un nouveau chaque année |
| Comment les acheteurs le vérifient | Le certificat lui-même, souvent aussi sur des registres publics comme UKAS CertCheck et IAF CertSearch | Vous partagez le rapport, généralement sous accord de confidentialité (NDA) |
Par lequel commencer
Partez des marchés sur lesquels vous vendez aujourd'hui et de ceux que vous visez d'ici un an environ.
- Vous vendez au Royaume-Uni et en Europe : l'ISO 27001. C'est elle que les services achats citent dans leurs questionnaires et leurs contrats.
- Vous vendez aux États-Unis, ou comptez le faire : SOC 2. C'est le rapport que les équipes sécurité américaines connaissent.
- Vous vendez presque partout ailleurs, par exemple en Asie ou en Amérique latine : l'ISO 27001, parce qu'elle est internationale.
- Vous vendez sur les deux marchés : préparez-vous aux deux en même temps, passez un audit maintenant et faites le second quand un client en a réellement besoin.
Deux de nos clients ont eu ce choix à faire. Centinel Analytica, start-up allemande de détection de bots, avait des clients qui demandaient l'ISO 27001 et SOC 2, et a choisi l'ISO 27001 : certifiée en moins de deux mois, avec 15 à 20 heures du temps de son équipe. Qorelo, plateforme d'IA allemande pour les opérations SAP, a commencé par l'ISO 27001, puis a mené un examen SOC 2 Type I. Selon son CTO, ce résultat lui a donné un socle de confiance plus solide pour ses échanges avec les grands comptes, notamment Mercedes-Benz.
Si un acheteur réclame « ISO 27001 ou SOC 2 », demandez-lui lequel il préfère, pour quand, et si une lettre indiquant que la démarche est en cours lui suffit pour l'instant. D'après notre expérience, c'est souvent le cas.
Où ils se recoupent, et où ils diffèrent
L'essentiel du travail est le même. Les deux vous demandent de :
- apprécier vos risques et choisir des mesures pour y répondre ;
- contrôler qui a accès à quoi, avec l'authentification multifacteur (MFA) et des revues régulières ;
- gérer les changements apportés au code et à l'infrastructure ;
- évaluer vos fournisseurs et en tenir la liste ;
- prévoir la gestion des incidents et sauvegarder vos données ;
- former votre équipe et faire accepter les politiques ;
- démontrer tout cela par des preuves, pas seulement par des politiques.
L'AICPA publie une correspondance entre les Trust Services Criteria et les exigences de l'ISO 27001, qui montre tout ce qui se transpose de l'un à l'autre.
Ce qui diffère :
- L'audit ISO 27001 porte sur le système de management, pas seulement sur les mesures : votre périmètre, votre méthode d'appréciation des risques, l'audit interne et la revue de direction. L'audit d'étape 1 vérifie vos documents ; celui d'étape 2, que vous les appliquez.
- SOC 2 part d'une description du système : un exposé écrit de vos services, de votre infrastructure, de vos équipes, de vos données et des contrôles qui les encadrent. Le cabinet CPA vérifie que la description est exacte et que vos contrôles répondent aux Trust Services Criteria.
- SOC 2 Type II porte sur une période. L'auditeur prélève des échantillons de preuves sur toute la période couverte : vos contrôles doivent donc fonctionner du début à la fin, pas seulement la semaine de l'audit.
SOC 2 Type I ou Type II
- Type I : vos contrôles sont-ils correctement conçus, à une date donnée ? Vous pouvez l'obtenir peu après la fin de votre préparation, sans période d'observation. Le Type I de Qorelo couvrait la catégorie Sécurité, avec une opinion sans réserve dans le rapport final.
- Type II : vos contrôles ont-ils réellement fonctionné sur une période, généralement de 3 à 12 mois ? C'est ce que de nombreux grands acheteurs américains finissent par demander.
Un parcours courant pour les start-ups : d'abord le Type I, pour débloquer la vente en cours, puis le Type II une fois que les contrôles fonctionnent depuis un certain temps.
Comment mener les deux sans faire le travail deux fois
- Rédigez les politiques une seule fois, de façon à répondre aux deux. La plupart des politiques ISO 27001 couvrent déjà ce que demande un auditeur SOC 2.
- Collectez les preuves une seule fois. Revues des accès, arrivées et départs des collaborateurs, validations des changements, revues des fournisseurs et registres d'incidents servent aux deux audits.
- Passez l'audit qu'exige votre prochain contrat. Pour la plupart des start-ups britanniques et européennes, c'est l'ISO 27001.
- Rattachez le second à ce que vous avez déjà. D'après notre expérience, une grande partie de ce que demande un cabinet CPA, comme l'acceptation des politiques, les échantillons de changements, les preuves de MFA et les listes de fournisseurs, a déjà été collectée pour l'ISO 27001.
- Rédigez la description du système SOC 2 à partir du périmètre et de l'inventaire des actifs de votre ISO 27001.
- Montrez les deux au même endroit. Un Trust Center avec votre certificat, l'état d'avancement de votre SOC 2 et vos politiques répond à beaucoup de questions avant même que les acheteurs envoient un questionnaire. Le Trust Center de Qorelo présente côte à côte sa certification ISO 27001 et son SOC 2 Type I, et les acheteurs y demandent le certificat et les rapports, des demandes que Qorelo examine.
Ce que cela coûte
Pour l'ISO 27001, les fourchettes du marché britannique pour une équipe de 10 personnes au plus représentent environ 11 300 à 31 500 £ la première année, hors TVA : l'audit, un logiciel ou un consultant, et un test d'intrusion. Le guide des coûts ISO 27001 détaille chaque poste, sources à l'appui.
SOC 2 obéit à une autre logique de prix. Les honoraires du cabinet CPA dépendent du Type, des critères que vous incluez et de la taille de votre système, et un Type II coûte généralement plus cher qu'un Type I. Si vous vous préparez aux deux en même temps, l'essentiel du coût de préparation est partagé.
Le rôle de Kantis
Kantis associe le logiciel à un accompagnement concret pour les deux : l'analyse des écarts, des politiques valables pour l'ISO 27001 comme pour SOC 2, la collecte des preuves, l'audit interne, la description du système SOC 2, la coordination avec votre organisme de certification ou votre cabinet CPA, et un Trust Center pour vos acheteurs. L'organisme de certification délivre le certificat ISO 27001, et le cabinet CPA émet le rapport SOC 2.
Pour le processus ISO 27001 complet, du périmètre au certificat, lisez notre guide ISO 27001 pour les start-ups. Pour un exemple concret du temps demandé à l'équipe, lisez l'étude de cas Centinel Analytica.
Parlez de votre projet ISO à un fondateur : vous repartirez en sachant lequel des deux vos acheteurs attendent en premier, et quel est le parcours crédible le plus rapide pour y arriver. Les échanges se font en anglais.