SOC 2 ou ISO 27001?

Qui demande quoi

La question arrive habituellement de l’équipe de risque fournisseur d’un client. Les acheteurs nord-américains, surtout en technologie et en finance, demandent souvent un rapport SOC 2. Les acheteurs européens, et les grandes multinationales partout, demandent souvent si vous détenez la certification ISO 27001. Les organismes publics ont leurs propres exigences, comme une cote de sécurité pour les données et l’accessibilité selon les WCAG AA.

Avant de vous lancer, demandez à vos prochains clients ce qu’ils accepteront vraiment. Certains se contenteront pour l’instant d’un questionnaire rempli et de vos documents d’architecture; d’autres ne signeront pas sans rapport. Cette réponse décide s’il s’agit d’un projet pour ce trimestre ou pour l’an prochain.

SOC 2 en termes simples

Un rapport SOC 2 est un examen des contrôles d’une organisation de services, mené par un cabinet indépendant de CPA selon les normes de l’AICPA ^[1]. Il couvre la sécurité et, au choix, la disponibilité, l’intégrité du traitement, la confidentialité et la protection des renseignements personnels. C’est une attestation, pas un certificat : l’auditeur fait rapport sur vos contrôles, et votre client lit le rapport.

• Un rapport de Type I examine si les contrôles sont bien conçus à un moment donné. Il est plus rapide et souvent la première étape.
• Un rapport de Type II examine si les contrôles ont fonctionné efficacement pendant une période d’observation. C’est ce que la plupart des grands clients finissent par vouloir.
• Le rapport est communiqué aux clients sous entente de confidentialité; ce n’est pas un badge public.

ISO 27001 en termes simples

ISO/IEC 27001 est une norme internationale de système de management de la sécurité de l’information : la façon dont une entreprise évalue ses risques, choisit ses contrôles et les améliore sans cesse. La certification est délivrée par un organisme de certification accrédité après un audit, et se maintient par des audits de surveillance et un renouvellement périodique.

Les deux se recoupent largement dans les contrôles eux-mêmes. Une entreprise qui bâtit ses contrôles une fois peut habituellement les rattacher aux deux : un deuxième cadre coûte surtout sa différence, soit le système de management et la documentation qu’attend ISO, soit le rapport qu’attend SOC 2.

Ce qui n’est pas une certification

Ce qu’est vraiment le travail

1. 01

   Analyse des écarts

   Comparer ce que vous faites aujourd’hui à ce que le cadre attend, et dresser la liste de ce qui manque.

2. 02

   Des contrôles dans le produit

   Accès par rôle et authentification unique, journaux d’audit, chiffrement, sauvegardes aux restaurations testées, surveillance, analyse des vulnérabilités et gestion des changements, intégrés au système plutôt que décrits sur papier.

3. 03

   Politiques

   Un ensemble de politiques écrites qui correspond à ce que l’équipe fait vraiment, parce que l’auditeur compare l’un à l’autre.

4. 04

   Preuves

   Recueillies au fil du travail, souvent dans une plateforme de conformité, pour que la période d’observation d’un rapport de Type II commence sur un système qui fonctionne.

5. 05

   Travaux sur le terrain et constats

   Un soutien pendant les essais de l’auditeur, et des correctifs pour tout ce qu’il relève.

Les questionnaires, en attendant

Tant qu’il n’y a pas de rapport, le questionnaire de sécurité tient lieu de rapport. Répondez-y bien : gardez un seul ensemble de réponses de référence, rédigé par les personnes qui exploitent le système, et mettez-le à jour à chaque changement du système. Joignez ce que vous pouvez montrer plutôt que décrire : un schéma d’architecture, le flux de données, la procédure de sauvegarde et de restauration, la revue des accès, le résultat du dernier test d’intrusion. Une réponse honnête qui dit qu’un contrôle est prévu, avec une date, se lit mieux pour une équipe de risque fournisseur qu’un oui vague.

Ces mêmes réponses de référence deviennent le point de départ de l’analyse des écarts le jour où vous décidez de viser un rapport : aucun effort n’est perdu.

Choisir un auditeur

Choisissez l’auditeur tôt, avant la fin du travail de préparation, et demandez-lui comment il travaille : comment il teste, quelles preuves il attend, s’il accepte les preuves de votre plateforme de conformité, et combien de temps prennent les travaux sur le terrain et le rapport. Demandez à vos clients s’ils préfèrent certains cabinets. L’auditeur doit être indépendant de quiconque vous a aidé à vous préparer : c’est une des raisons pour lesquelles un studio qui bâtit vos contrôles ne peut jamais être celui qui en fait rapport.

Ce que ça coûte, calculé maintenant

Les trois exemples ci-dessous sont chiffrés par notre estimateur selon la grille tarifaire en vigueur à l’ouverture de cette page, pour le même produit web : la préparation à un premier rapport SOC 2 de Type I, le soutien d’audit jusqu’à un rapport de Type II, et SOC 2 Type II et ISO 27001 maintenus en continu. Notre prix couvre l’ingénierie et le soutien d’audit; les honoraires de l’auditeur et toute plateforme de conformité sont présentés par l’estimateur comme des fourchettes indicatives à part, parce que vous les payez directement.

Quand ni l’un ni l’autre ne convient

Si aucun client ne l’a demandé, ou si ceux qui l’ont demandé acceptent un questionnaire, le rapport peut attendre. Ce qui ne devrait pas attendre, c’est l’ingénierie : authentification unique, journaux d’audit, chiffrement, sauvegardes qui se restaurent et gestion des changements coûtent bien moins cher à intégrer dès le départ qu’à ajouter avant un audit. Bâtissez les contrôles maintenant, et le rapport devient un plus petit projet le jour où un client le demande enfin.