Les principales différences
- Résultat : l'ISO/IEC 27001 donne un certificat public. SOC 2 donne un rapport, en général partagé sous accord de confidentialité.
- Délivré par : un organisme de certification accrédité pour l'ISO ; un cabinet d'expertise comptable agréé (CPA) pour SOC 2.
- Objet : l'ISO exige un système de management centré sur la gestion des risques. SOC 2 teste les mesures au regard des Trust Services Criteria de l'AICPA.
- Marchés : l'ISO est largement reconnue dans le monde, surtout en Europe. SOC 2 est la demande courante en Amérique du Nord.
SOC 2 en bref
Les critères couvrent la sécurité, obligatoire, et en option la disponibilité, l'intégrité du traitement, la confidentialité et la vie privée. Un rapport de type I examine la conception des mesures à une date ; un rapport de type II teste aussi qu'elles ont fonctionné sur une période.
Comment choisir
- Demandez à vos clients et prospects ce qu'ils exigent.
- Vous vendez surtout en Europe ou dans le monde : l'ISO/IEC 27001 est souvent le premier choix.
- Vous vendez surtout à des entreprises américaines : SOC 2 est généralement attendu.
- Les deux sont demandés : construisez un seul ensemble de mesures et de preuves, puis réutilisez-le pour les deux.
Questions
- SOC 2 est-il une certification ?
- Non. C'est un rapport d'attestation : l'opinion d'un auditeur sur vos mesures. Personne n'est certifié SOC 2 au sens de l'ISO.
- Le travail ISO 27001 peut-il servir pour SOC 2 ?
- En grande partie. Beaucoup de mesures et de preuves sont communes, et les critères peuvent être mis en correspondance avec l'annexe A, même si chaque audit a ses propres exigences.