ISO 27001 ou SOC 2 : quel référentiel pour rassurer vos clients ?
Un client européen demande un certificat ISO 27001, un prospect nord-américain un rapport SOC 2. Les deux démarches se recoupent largement, mais elles ne produisent pas la même preuve et ne rassurent pas les mêmes lecteurs.
La scène est fréquente chez les éditeurs de logiciels et les prestataires de services numériques. Un client européen exige, dans son cahier des charges, un certificat ISO 27001. Un prospect nord-américain envoie un questionnaire de sécurité de deux cents lignes et demande, en première ligne, « votre dernier rapport SOC 2 type II ». La direction pose alors la question : ISO 27001 ou SOC 2, lequel faut-il viser ? La bonne réponse commence par comprendre que les deux ne produisent pas la même preuve.
DOSOBE ne délivre ni certification ni attestation et ne perçoit aucune commission d’organismes d’audit. Ce comparatif applique les mêmes critères aux deux référentiels.
Deux logiques différentes
ISO/IEC 27001 : certifier un système de management
ISO/IEC 27001 est une norme internationale, dont la version en vigueur date de 2022. Elle exige un système de management de la sécurité de l’information : un périmètre défini, une analyse des risques, des mesures choisies et justifiées dans une déclaration d’applicabilité (à partir des 93 mesures de l’annexe A), des audits internes, une revue de direction et une amélioration continue. Un organisme de certification accrédité audite le système et délivre un certificat valable trois ans, sous réserve d’audits de surveillance annuels. Le certificat est public et vérifiable.
SOC 2 : attester le fonctionnement des contrôles
SOC 2 est un cadre de l’AICPA, l’organisation professionnelle des experts-comptables américains. Un cabinet habilité examine les contrôles d’un prestataire de services au regard des Trust Services Criteria, qui couvrent la sécurité (toujours incluse) et, au choix, la disponibilité, l’intégrité des traitements, la confidentialité et la protection de la vie privée. Le rapport de type II décrit le système, les contrôles et les tests réalisés par l’auditeur sur une période, avec les éventuelles exceptions relevées. Il est destiné aux clients et à leurs auditeurs, en général sous accord de confidentialité.
Le certificat ISO 27001 dit : « cette organisation gère la sécurité de façon méthodique ». Le rapport SOC 2 type II dit : « voici, contrôle par contrôle, ce qui a fonctionné pendant ces douze mois, et ce qui n’a pas fonctionné ».
Le comparatif, sur les mêmes critères
| Critère | ISO/IEC 27001 | SOC 2 |
|---|---|---|
| Nature de la preuve | Certification de conformité d’un système de management | Rapport d’attestation d’un auditeur indépendant |
| Qui audite | Organisme de certification accrédité (selon ISO/IEC 27006) | Cabinet d’expertise comptable habilité aux États-Unis |
| Référentiel | Exigences de la norme et annexe A (93 mesures) | Trust Services Criteria de l’AICPA, catégories choisies |
| Périmètre | Défini par l’organisation, inscrit sur le certificat | Système décrit dans le rapport : services, infrastructure, personnes, données |
| Dimension temporelle | Conformité constatée lors des audits ; cycle de trois ans | Type I : à une date ; type II : sur une période, souvent 6 à 12 mois |
| Ce que reçoit le client | Un certificat public, parfois la déclaration d’applicabilité | Un rapport détaillé, avec tests et exceptions, confidentiel |
| Reconnaissance | Internationale, forte en Europe, en Afrique, en Asie et dans les marchés publics | Forte en Amérique du Nord, dans les achats de logiciels en mode service |
| Lien avec les réglementations | Point d’appui reconnu pour NIS 2, DORA et de nombreux référentiels sectoriels | Peu de reconnaissance réglementaire hors Amérique du Nord |
| Renouvellement | Surveillance annuelle, recertification tous les trois ans | Nouveau rapport à chaque période, en général chaque année |
Ce que chaque référentiel fait bien, et moins bien
ISO 27001 a pour force sa reconnaissance et sa logique de gestion. Le certificat est compris presque partout, il est exigé dans de nombreux marchés publics et il structure la sécurité autour des risques propres à l’organisation. Sa limite est la contrepartie de cette force : le certificat dit peu de chose au client sur le fonctionnement concret de telle ou telle mesure, et un périmètre trop étroit peut donner une image flatteuse d’une organisation dont l’essentiel n’est pas couvert. Un acheteur avisé lit toujours le périmètre inscrit sur le certificat.
SOC 2 a pour force la précision. Le rapport type II permet à un client de vérifier que les contrôles qui l’intéressent ont été testés, avec quel échantillon, et quelles exceptions ont été relevées. Sa limite est sa portée géographique : hors Amérique du Nord, beaucoup d’acheteurs ne savent pas le lire, et les autorités européennes ne s’y réfèrent pas. Il impose aussi une discipline continue, puisque la période observée ne tolère pas de relâchement.
Le bon référentiel n’est pas le plus prestigieux, c’est celui que vos clients savent lire.
Choisir en quatre questions
- Que demandent vos clients, par écrit ?Relire les cahiers des charges, les questionnaires de sécurité et les contrats des deux dernières années. La réponse y figure souvent, et elle tranche.
- Où sont vos clients ?Une clientèle européenne, africaine ou publique oriente vers ISO 27001. Une clientèle d’entreprises nord-américaines achetant du logiciel en mode service oriente vers SOC 2.
- Quelles réglementations vous concernent ?Si vous êtes soumis à NIS 2 ou prestataire d’une entité soumise à DORA, ISO 27001 s’articule plus naturellement avec ces textes.
- Quelle maturité aujourd’hui ?Sans dispositif de sécurité formalisé, ISO 27001 donne le cadre de gestion ; un rapport SOC 2 type I peut ensuite servir d’étape vers un type II.
Ce que regarde un acheteur averti
Le choix d’un référentiel ne suffit pas : ce qui rassure un client exigeant, c’est la manière dont la preuve résiste à la lecture. Quelques points reviennent dans les revues de sécurité des fournisseurs.
Le périmètre. Sur un certificat ISO 27001, le périmètre est inscrit en toutes lettres. S’il couvre « le siège administratif » et non la plateforme qui héberge les données du client, le certificat ne répond pas à la question posée. Dans un rapport SOC 2, la description du système joue le même rôle.
Les sous-traitants. Un rapport SOC 2 indique si les prestataires du fournisseur, comme l’hébergeur en nuage, sont inclus dans l’examen ou exclus (méthode dite « carve-out »). Dans le second cas, le client doit obtenir aussi les rapports de ces prestataires. Pour ISO 27001, la question se pose à travers les mesures relatives aux fournisseurs et aux services en nuage.
Les exceptions. Un rapport SOC 2 type II peut relever des exceptions : un contrôle qui n’a pas fonctionné sur une partie de la période. Leur présence n’est pas disqualifiante ; leur nature, leur explication et la réponse du fournisseur comptent davantage.
La fraîcheur. Un rapport SOC 2 couvre une période passée. Entre la fin de cette période et le rapport suivant, les fournisseurs remettent souvent une lettre dite « de pont » (bridge letter), par laquelle la direction déclare qu’aucun changement significatif n’est intervenu. Pour ISO 27001, la date du dernier audit de surveillance remplit une fonction comparable.
Préparer ces éléments à l’avance (périmètre clair, liste des sous-traitants, réponses aux exceptions, calendrier des audits) raccourcit considérablement les revues de sécurité et les questionnaires.
Préparer les deux sans tout faire deux fois
Les mesures de sécurité des deux référentiels se recoupent largement : gestion des accès, journalisation, gestion des changements, continuité, relation avec les fournisseurs, gestion des incidents. L’AICPA publie d’ailleurs une table de correspondance entre ses critères et ISO 27001. Une organisation qui vise les deux a intérêt à bâtir un seul dispositif : un registre unique des contrôles, chacun relié à ses exigences dans les deux référentiels, et une collecte de preuves datées et attribuées, réutilisable par les deux auditeurs.
Notre guide pour gérer plusieurs référentiels sans multiplier les audits détaille cette méthode, et notre note sur la fin de la transition vers ISO 27001:2022 rappelle les dernières échéances. Notre produit Gouvernance sert à conserver ces preuves, et notre expertise cybersécurité et conformité accompagne la préparation des audits.
Limites de ce comparatif
Ce comparatif ne remplace pas l’avis de l’organisme de certification ou du cabinet d’audit, qui fixent leurs propres modalités. Il ne traite pas des référentiels voisins, comme les qualifications nationales de prestataires de services en nuage (SecNumCloud en France), le C5 allemand ou les exigences sectorielles de santé, qui peuvent s’imposer en plus. Il ne donne aucun prix : les coûts dépendent du périmètre, de la maturité et des organismes, et doivent être obtenus par devis.
- ISO/IEC 27001:2022, Systèmes de management de la sécurité de l’information — Exigences.
- ISO/IEC 27006, Exigences pour les organismes procédant à l’audit et à la certification des systèmes de management de la sécurité de l’information.
- AICPA, 2017 Trust Services Criteria for Security, Availability, Processing Integrity, Confidentiality, and Privacy (points of focus révisés en 2022).
- AICPA, SOC 2 — SOC for Service Organizations: Trust Services Criteria.
Questions fréquentes
Un rapport SOC 2 est-il une certification ?
Non. C'est un rapport d'attestation émis par un cabinet d'expertise comptable habilité, selon les normes de l'AICPA. Il décrit le système, les contrôles et les résultats des tests de l'auditeur. Il n'y a ni certificat ni logo : on transmet le rapport, en général sous accord de confidentialité.
Quelle différence entre SOC 2 type I et type II ?
Le type I apprécie la conception des contrôles à une date donnée. Le type II apprécie aussi leur fonctionnement effectif sur une période, souvent de six à douze mois. Les clients exigeants demandent un type II ; le type I sert surtout de première étape.
Peut-on obtenir les deux en même temps ?
On peut les préparer ensemble, car les mesures de sécurité se recoupent largement et l'AICPA publie une correspondance entre ses critères et ISO 27001. Les audits restent distincts, menés par des organismes différents, mais un même dispositif de preuves peut alimenter les deux.
Lequel coûte le moins cher ?
Cela dépend du périmètre, de la maturité de départ et des organismes choisis ; nous ne donnons pas de prix sans devis. Le coût principal n'est d'ailleurs pas l'audit, mais le travail interne pour mettre en place les mesures et produire les preuves dans la durée.