Avons-nous besoin de l’ISO 27001 ou de SOC 2 ?

Cela dépend surtout de vos clients et de ce qu’ils demandent. L’ISO/IEC 27001 est une certification internationale de votre système de management, largement reconnue en Europe et dans les marchés publics ; SOCSOC: security operations centre (centre opérationnel de sécurité). Une équipe, souvent active jour et nuit, chargée de repérer les attaques et d'y répondre. 2 est un rapport d’attestation fondé sur des normes d’audit américaines, courant dans la vente de logiciels en Amérique du Nord. Beaucoup d’entreprises européennes de taille moyenne se voient d’abord demander l’ISO 27001, tandis que celles qui vendent des logiciels aux États-Unis rencontrent des questionnaires SOC 2. Les deux examinent en grande partie les mêmes mesures, donc le travail de fond se recoupe largement : appréciation des risques, contrôle d’accès, gestion des changements, gestion des fournisseurs, réponse aux incidents, journalisation et surveillance. Si vous avez besoin des deux à terme, construisez un seul ensemble de mesures et rattachez-le à chaque référentiel plutôt que de mener deux programmes. Avant de commencer, demandez à vos plus gros clients et prospects ce qu’ils acceptent, vérifiez si un questionnaire de sécurité rempli suffirait pour l’instant et définissez un périmètre assez étroit pour aboutir. Aucun des deux ne remplace les obligations NIS2NIS2: deuxième directive européenne sur la sécurité des réseaux et de l'information. La loi européenne sur la cybersécurité (directive (UE) 2022/2555), qui fixe des obligations de sécurité et de notification d'incidents à de nombreuses entreprises.. NetSenX ne dispose aujourd’hui ni de l’un ni de l’autre : le SOC 2 Type I et l’ISO/IEC 42001 sont en préparation.

← Les 15 questions sur Normes de sécurité : ISO 27001, SOC 2Tous les thèmes