La plupart des équipes rencontrent ces deux référentiels de la même façon : un prospect demande « votre certification de sécurité » pendant les achats, quelqu'un transfère l'e-mail en interne, et une semaine plus tard il y a deux devis sur la table pour deux choses différentes. ISO/IEC 27001 et SOC 2 se recouvrent assez pour paraître interchangeables et diffèrent assez pour que le mauvais choix coûte un an.
La version courte : ISO 27001 certifie que vous faites fonctionner un système de management de la sécurité de l'information. SOC 2 rapporte si des contrôles précis ont fonctionné sur une période. L'un est un certificat sur un système. L'autre est l'opinion d'un auditeur sur des preuves.
Ce que chacun produit réellement
À la fin d'une mission ISO 27001, vous tenez un certificat, délivré par un organisme de certification, déclarant que votre SMSI est conforme à la norme. Il a une échéance, généralement trois ans, avec des audits de surveillance entre-temps. Le certificat est un document court ; le détail vit dans votre déclaration d'applicabilité, qui consigne quelles mesures de l'annexe A vous appliquez et pourquoi vous avez exclu les autres.
À la fin d'une mission SOC 2, vous tenez un rapport, rédigé par un cabinet de CPA, contenant l'opinion de l'auditeur, une description de votre système et la liste de chaque contrôle testé avec les résultats. Ce n'est pas un certificat et il n'y a rien à afficher. C'est un document que vous envoyez à un client sous accord de confidentialité, et il est souvent assez long pour que son équipe sécurité ne lise que l'opinion et les exceptions.
Cette différence commande tout le reste. Un certificat peut être vérifié par n'importe qui avec le numéro et le registre de l'organisme de certification. Un rapport doit être demandé, reçu et lu.
Type I et Type II, et pourquoi la distinction compte plus que le référentiel
SOC 2 existe en deux formes et l'écart entre elles est plus grand que la plupart des acheteurs ne le pensent.
Un rapport Type I dit que les contrôles étaient convenablement conçus à un instant donné. C'est une photographie. On l'obtient vite, ce qui explique sa popularité auprès des équipes sous pression des achats, mais un acheteur averti sait ce qu'il ne dit pas : rien sur le fait que le contrôle ait jamais tourné.
Un rapport Type II couvre une période, généralement de trois à douze mois, et l'auditeur teste si les contrôles ont fonctionné tout du long. C'est celui que les grands comptes veulent dire quand ils disent « SOC 2 ». Si votre client est une banque, un assureur ou une société cotée, partez du principe qu'il veut un Type II et planifiez la fenêtre d'observation plutôt que de la découvrir après avoir payé un Type I.
ISO 27001 n'a pas d'équivalent de cette séparation. L'audit de certification se déroule en deux étapes, une revue documentaire puis un audit sur site ou à distance du système en fonctionnement, mais vous finissez avec un seul certificat dans les deux cas.
Qui a le droit de signer
C'est là que les deux référentiels divergent d'une façon qui décide de qui vous pouvez engager.
SOC 2 est une attestation réalisée selon les normes de l'AICPA. En pratique, cela signifie un cabinet de CPA agréé. Un consultant indépendant qui n'est pas CPA ne peut pas vous délivrer un rapport SOC 2, aussi bon soit-il en sécurité.
Les certificats ISO 27001 sont délivrés par des organismes de certification, et les crédibles sont accrédités par un organisme national d'accréditation signataire de l'accord multilatéral de l'IAF. Un certificat non accrédité n'est pas sans valeur, mais un acheteur qui vérifie découvrira que l'émetteur n'est pas accrédité, et cette conversation est pire que de ne pas avoir de certificat.
Il y a une autre règle qui piège les gens. Selon ISO/IEC 17021-1, un organisme de certification ne peut pas certifier un système de management sur lequel il a fourni du conseil au cours des deux années précédentes. Le cabinet qui vous aide à rédiger vos politiques ne peut pas être celui qui les certifie. Les équipes le découvrent régulièrement après avoir payé un cabinet pour les deux, et doivent recommencer la partie certification avec quelqu'un d'autre.
Lequel choisir
Demandez à votre acheteur, par écrit, quel document il lui faut. Ensuite :
Choisissez SOC 2 si vos clients sont surtout nord-américains, si leurs questionnaires d'achat le nomment, ou si vous vendez à des entreprises dont les auditeurs voudront lire les résultats des tests de contrôle plutôt que faire confiance à un certificat.
Choisissez ISO 27001 si vos clients sont surtout européens ou internationaux, si vous répondez à des appels d'offres publics, ou si vous voulez quelque chose qu'un tiers peut vérifier sans accord de confidentialité ni échange de documents.
Choisissez les deux, à terme, si vous vendez sur les deux marchés. Le travail se recouvre largement, les preuves rassemblées pour l'un couvrent une bonne part de l'autre, mais cela reste deux missions, deux auditeurs et deux jeux de frais. Enchaînez-les plutôt que de les mener de front pour un premier cycle.
Si vous ne parvenez vraiment pas à obtenir de réponse de l'acheteur, ISO 27001 est le premier pas le plus sûr hors des États-Unis, parce qu'un certificat est plus facile à montrer au prospect suivant qu'un rapport à envoyer.
Ce qu'il faut budgéter au-delà des honoraires
Les honoraires d'audit sont rarement le plus gros chiffre. Prévoyez le travail de préparation, là où va l'essentiel de l'effort : écrire ce que vous faites, combler les lacunes que l'écriture révèle, et rassembler les preuves que les contrôles ont tourné. Pour SOC 2 Type II, ajoutez la fenêtre d'observation elle-même ; on ne compresse pas trois mois de preuves de fonctionnement en quinze jours.
Prévoyez aussi la deuxième année. ISO 27001 a des audits de surveillance ; les rapports SOC 2 vieillissent et les clients en demandent un récent. Quel que soit votre choix, vous choisissez un engagement récurrent, pas un achat ponctuel.