Des preuves réutilisables entre SOC 2, ISO 27001 et PCI DSS

Une organisation certifiée SOC 2, ISO 27001 et PCI DSS peut facilement passer plus de temps à répondre aux demandes de preuves qu'à exécuter ses contrôles. Chaque auditeur demande « la revue des accès », « les analyses de vulnérabilités », « le test d'incident », sous des formats légèrement différents et pour des périodes légèrement différentes. La plupart de ces preuves sont identiques. L'astuce consiste à les collecter une seule fois, sous une forme qui satisfait le plus exigeant des trois.

Pourquoi le recouvrement est important

Les trois référentiels partagent l'essentiel de leur contenu en matière de sécurité. En passant de ISO 27001 à SOC 2, par exemple :

Sur les 61 critères SOC 2, 41 (67%) correspondent à un élément de ISO 27001, 0 sont seulement faiblement liés et 20 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Et de ISO 27001 à PCI DSS, le recouvrement est plus faible mais reste substantiel en matière de gouvernance et de processus :

Sur les 260 exigences PCI DSS, 77 (30%) correspondent à un élément de ISO 27001, 76 sont seulement faiblement liés et 107 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

Lorsque les exigences se correspondent, les preuves se recouvrent généralement aussi.

Des preuves qui servent aux trois

Preuve	SOC 2	ISO 27001	PCI DSS
Revues des droits d'accès des utilisateurs (avec validation et modifications apportées)	CC6.2, CC6.3	A.5.18	7.2.4 (tous les six mois)
Tickets d'arrivée et de départ avec approbations	CC6.2	A.5.16, A.5.18, A.6.5	8.2.4, 8.2.5
Tickets de changement avec revue, tests et approbation	CC8.1	A.8.32	6.5.1, 6.5.2
Résultats d'analyses de vulnérabilités et remédiation	CC7.1	A.8.8	11.3.1, 11.3.2, 6.3.3
Rapports de tests d'intrusion et de contre-tests	CC4.1, CC7.1	A.8.8	11.4.1 à 11.4.4
Registre des incidents et test de réponse	CC7.3 à CC7.5	A.5.24 à A.5.27	12.10.1, 12.10.2
Registres de sensibilisation à la sécurité	CC1.4, CC2.2	A.6.3	12.6.1 à 12.6.3
Dossiers de diligence raisonnable des fournisseurs	CC9.2	A.5.19 à A.5.22	12.8.1 à 12.8.5
Tests de restauration des sauvegardes	A1.2, A1.3	A.8.13	9.4.1.1, 12.10.1
Analyse des risques et sa revue	CC3.1 à CC3.4	6.1.2, 8.2	12.3.1

Collecter selon la norme la plus stricte

• Fréquence : PCI DSS fixe souvent le rythme le plus soutenu (revues d'accès semestrielles, analyses trimestrielles). Exécutez les contrôles à la fréquence de PCI et les deux autres sont satisfaits.
• Période : SOC 2 Type II échantillonne sur l'ensemble de la période d'observation. Conservez les preuves en continu, pas seulement avant les audits.
• Exhaustivité : les auditeurs ISO peuvent demander comment vous savez que la population est complète. Conservez la liste complète (tous les départs, tous les changements), et non seulement les exemples que vous auriez choisis.
• Provenance : les preuves générées par le système (exports, journaux, tickets horodatés) l'emportent sur les captures d'écran d'un écran que quelqu'un a préparé.

Une structure simple

Un seul référentiel de preuves, organisé par contrôle plutôt que par référentiel. Chaque dossier de contrôle contient les preuves de chaque période, nommées de façon cohérente, accompagnées d'un index succinct indiquant les exigences de chaque référentiel qu'elles couvrent. Lorsqu'un auditeur demande « une preuve de 7.2.4 », vous recherchez le contrôle, non le référentiel.

Points clés

• La plupart des preuves (revues d'accès, tickets de changement, analyses, registres d'incidents, formations) servent simultanément à SOC 2, ISO 27001 et PCI DSS.
• Collectez selon la norme la plus stricte : fréquences de PCI et période continue de SOC 2.
• Organisez les preuves par contrôle, non par référentiel, avec un index de ce que chaque élément satisfait.
• Quelques éléments ne se transfèrent pas, notamment les analyses ASV et les enregistrements du système de management ISO.

Ce qui ne se transfère pas

• Analyses propres à PCI : les analyses externes doivent être réalisées par un Approved Scanning Vendor.
• Analyses de risques ciblées PCI pour les exigences à fréquence flexible.
• Enregistrements du système de management ISO : rapports d'audit interne, comptes rendus de revue de direction et journaux d'actions correctives sont propres à ISO (même si les auditeurs SOC 2 les apprécient).
• Description du système SOC 2 : votre propre description narrative du système dans le périmètre.

Notre article sur un jeu de contrôles commun à SOC 2 et ISO 27001 traite de la conception des contrôles ; l'analyse d'écarts répertorie les correspondances entre deux référentiels quelconques.

Questions

Les mêmes preuves peuvent-elles servir pour SOC 2 et ISO 27001 ?

En général, oui. Les deux recherchent la preuve que les contrôles fonctionnent : tickets, revues, résultats d'analyses, registres de formation. SOC 2 Type II exige des échantillons sur l'ensemble de sa période d'observation, donc collectez en continu.

Quelles preuves PCI DSS exige-t-il que SOC 2 n'exige pas ?

Preuves de fréquences et de paramètres propres à PCI : analyses internes trimestrielles et analyses externes ASV, revues semestrielles des accès et des règles de pare-feu, analyses de risques ciblées et configurations spécifiques aux données de titulaires de carte.

Combien de temps conserver les preuves d'audit ?

Au minimum jusqu'à la clôture du cycle d'audit suivant, et plus longtemps lorsqu'un référentiel ou une loi l'exige ; PCI DSS, par exemple, impose 12 mois d'historique des journaux d'audit.