Tôt ou tard, un grand client pose la même question à une entreprise canadienne de logiciels ou de services en croissance : « Avez-vous SOC 2 ou ISO 27001 ? » Les deux sont respectés. Ce ne sont pas la même chose, et choisir le mauvais en premier peut coûter un an.
Ce que chacun est réellement
ISO/CEI 27001 : un système de management certifié
ISO/CEI 27001 établit les exigences pour un système de management de la sécurité de l’information (SMSI). Un organisme de certification accrédité vérifie si votre SMSI répond à la norme et, si c’est le cas, délivre un certificat. Au Canada, le Conseil canadien des normes accrédite les organismes de certification qui proposent la certification ISO/CEI 27001.
Le résultat est concis : un certificat avec une déclaration de portée, valable trois ans avec des audits de surveillance annuels. Il indique aux clients que vous gérez un programme structuré et basé sur les risques. Il en dit moins sur la performance de chaque contrôle individuel.
SOC 2 : un rapport d’assurance sur les contrôles
SOC 2 est un rapport d’attestation d’un cabinet d’expertise comptable sur les contrôles pertinents pour la sécurité, la disponibilité, l’intégrité du traitement, la confidentialité et la vie privée. CPA Canada publie un guide SOC 2 adapté aux normes canadiennes. Selon les normes canadiennes, ces missions sont réalisées en vertu de la NCAE 3000, comme résumé dans les orientations non contraignantes de FRAS Canada sur les missions SOC.
Le résultat est détaillé : un rapport décrivant votre système, les critères, vos contrôles, les tests de l’auditeur et toute exception. Un rapport de type 2 couvre une période donnée et indique au lecteur si les contrôles ont fonctionné efficacement pendant cette période.
Cinq questions pour décider
- Où sont vos clients ? SOC 2 est la demande courante des acheteurs américains et des acheteurs canadiens dont les pratiques d’approvisionnement suivent celles des États-Unis. ISO 27001 est largement reconnu en Europe et à l’international. Examinez votre pipeline, pas l’opinion générale.
- Que disent les contrats et les appels d’offres ? Reprenez vos dix derniers questionnaires de sécurité et appels d’offres. S’ils en nomment un explicitement, cela résout la majeure partie du débat.
- Qui lit le résultat ? Les équipes d’approvisionnement apprécient un certificat qu’elles peuvent classer. Les équipes de sécurité et de gestion des risques des banques et des grandes entreprises souhaitent souvent le détail d’un rapport SOC 2 afin de pouvoir identifier les exceptions et les contrôles complémentaires des entités utilisatrices.
- Quel est le niveau de maturité de votre programme ? ISO 27001 vous demande de construire le système de management lui-même : portée, évaluation des risques, déclaration d’applicabilité, audit interne et revue de direction. SOC 2 suppose que les contrôles existent et les teste. Les équipes qui partent de zéro trouvent souvent ISO 27001 utile comme base dans tous les cas.
- Quel est votre échéancier ? Un rapport SOC 2 de type 2 nécessite une période d’observation avant de pouvoir être émis. Planifiez à rebours à partir de la date à laquelle votre plus grand prospect en a besoin.
Vous pourriez finir par avoir les deux
De nombreux fournisseurs de services finissent par détenir les deux. La bonne nouvelle est que le travail sous-jacent se chevauche considérablement : la gestion des accès, la gestion des changements, la journalisation, la réponse aux incidents, la gestion des fournisseurs et l’évaluation des risques apparaissent dans les deux.
L’approche pratique consiste à construire un ensemble de contrôles, à le mapper aux deux cadres et à collecter les preuves une seule fois. Un portail de gouvernance tel que Accel GRC vous permet d’associer chaque contrôle et chaque élément de preuve aux clauses ISO 27001 et aux critères SOC 2, de sorte qu’une seule revue d’accès prend en charge deux audits.
Erreurs courantes
- Appeler SOC 2 une certification. Il s’agit d’un rapport d’attestation. L’utilisation du bon terme est importante pour les acheteurs avertis.
- Définir une portée trop étroite. Un certificat ou un rapport qui exclut le produit réellement utilisé par le client ne sera pas utile lors de la diligence raisonnable.
- Le traiter comme un projet ponctuel. Les deux nécessitent un fonctionnement continu. ISO 27001 prévoit des audits de surveillance ; les rapports SOC 2 de type 2 sont généralement renouvelés de manière récurrente.
- Omettre la validation technique. Aucun des cadres ne remplace les tests. Les clients demandent de plus en plus un test d’intrusion récent en plus du certificat ou du rapport.
Qu’en est-il des données de cartes de paiement ?
Si vous stockez, traitez ou transmettez des données de titulaires de carte, ni ISO 27001 ni SOC 2 ne remplacent PCI DSS. Les marques de cartes et les acquéreurs attendent une validation PCI DSS. Ubitrak agit en tant que société QSA PCI depuis 2011 et peut vous aider à planifier ces programmes ensemble.
Comment nous pouvons vous aider : Ubitrak propose la préparation à ISO 27001 et à SOC 2 en collaboration avec des cabinets d’experts-comptables partenaires, qui émettent le rapport SOC 2. Explorez nos pages ISO 27001, SOC 2 et PCI DSS, découvrez comment une revue de sécurité peut vous indiquer par où commencer, ou contactez-nous.
Sources
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite