SOC 2 ou ISO 27001 : quelle différence ?

Un certificat ISO 27001 est délivré par un organisme de certification. L’ISO elle-même ne certifie personne. L’accréditation par un organisme national confirme la compétence de l’organisme de certification, et les certificats accrédités peuvent être vérifiés dans la base de données IAF CertSearch : un acheteur peut donc contrôler le certificat d’un fournisseur sans rien lui demander.

Un rapport SOC 2 est émis par un cabinet d’experts-comptables (CPA) selon les normes professionnelles de l’AICPA. C’est un document détaillé, transmis aux clients et prospects sous accord de confidentialité : l’acheteur doit le demander. Un rapport SOC 3 couvre les mêmes cinq catégories avec un niveau de détail moindre et constitue, selon l’AICPA, un rapport à usage général qui peut être librement diffusé. Certaines organisations publient un SOC 3 et réservent le SOC 2 aux due diligences.

Dans les deux cas, vérifiez l’auditeur. L’AICPA a mis en garde contre les services SOC vendus comme rapides et faciles, et indique qu’elle sanctionne les membres qui ne disposent pas de licence ou ne participent pas à la revue par les pairs (peer review).

Un audit ISO 27001 examine un système de management. L’étape 1 passe en revue la documentation et la Déclaration d’applicabilité ; l’étape 2 vérifie que le SMSI et les mesures retenues fonctionnent. Le certificat précise le périmètre et il est suivi d’audits de surveillance la première et la deuxième année, puis d’un renouvellement la troisième.

Un examen SOC 2 teste les contrôles au regard des critères de services fiduciaires retenus. Un rapport Type I porte sur leur conception à une date donnée ; un rapport Type II porte sur leur fonctionnement pendant une période d’observation, généralement de 6 à 12 mois. Le rapport contient la description du système, l’opinion de l’auditeur et les exceptions relevées. Voir SOC 2 Type I ou Type II.

Conséquence pratique : ISO 27001 vous demande de prouver que le système de management de la sécurité fonctionne et s’améliore, tandis qu’un SOC 2 Type II vous demande de prouver que des contrôles précis ont fonctionné tout au long d’une période.

• Partez d’une seule appréciation des risques et d’un seul jeu de contrôles, puis reliez chaque contrôle aux mesures de l’Annexe A et aux critères de services fiduciaires qu’il couvre. Voir la cartographie de contrôles inter-référentiels.
• Alignez les périmètres. Si le périmètre du SMSI et la description du système SOC 2 couvrent des produits ou des sites différents, les preuves ne se transposeront pas.
• Collectez les preuves en continu, datées, pour que les mêmes enregistrements servent à la période d’observation SOC 2 et à l’audit de surveillance ISO 27001.
• Demandez à vos acheteurs ce qu’ils acceptent avant de choisir. Un certificat ne remplace pas un rapport pour un acheteur dont les achats exigent SOC 2, et l’inverse est également vrai.