Quelle est la différence entre une certification et un rapport d’attestation ?

Une certification est la décision, par un organisme accrédité, que vous satisfaites à une norme, consignée dans un certificat ; un rapport d’attestation est l’opinion d’un auditeur sur vos contrôles, avec le détail de ce qui a été testé. L’ISO/IEC 27001 fonctionne par certification : un organisme de certification accrédité audite votre système de management, délivre un certificat pour un périmètre défini et continue de vérifier par des audits de surveillance jusqu’au renouvellement. SOCSOC: security operations centre (centre opérationnel de sécurité). Une équipe, souvent active jour et nuit, chargée de repérer les attaques et d'y répondre. 2 fonctionne par attestation : un auditeur indépendant teste vos contrôles au regard de critères et rédige un rapport avec son opinion et les écarts éventuels, que vous partagez sous accord de confidentialité. En pratique, un certificat se vérifie et se compare facilement mais dit peu de choses du détail ; un rapport en dit beaucoup plus mais doit être lu, y compris son périmètre, sa période, ses écarts et les contrôles qui vous incombent. L’un comme l’autre ne vaut que si son périmètre correspond au service que vous achetez. Méfiez-vous des fournisseurs qui présentent une auto-évaluation, une politique ou un diagnostic de préparation réalisé par un consultant comme l’un ou l’autre. NetSenX ne dispose aujourd’hui ni de l’un ni de l’autre ; le SOC 2 Type I et l’ISO/IEC 42001 sont en préparation.

← Les 15 questions sur Normes de sécurité : ISO 27001, SOC 2Tous les thèmes