Critères SOC 2 sans équivalent ISO 27001 : pourquoi ils existent
Un certificat ISO 27001 vous permet d'avancer largement vers un rapport SOC 2, mais pas entièrement. Les critères qui ne se transposent pas relèvent tous de deux catégories facultatives.
Si votre organisation détient déjà la norme ISO 27001 et qu'un client demande un rapport SOC 2, l'essentiel du travail est fait. Les contrôles de sécurité se recoupent largement, et le SMSI fournit aux auditeurs SOC 2 les preuves de gouvernance qu'ils recherchent. Mais un groupe de critères SOC 2 n'a aucun équivalent dans ISO 27001, et il est utile de les connaître avant de convenir d'un périmètre avec votre auditeur.
Le chiffre clé
Sur les 61 critères SOC 2, 41 (67%) correspondent à un élément de ISO 27001, 0 sont seulement faiblement liés et 20 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →
Aucun critère SOC 2 n'est simplement « faiblement liés » à ISO : chacun correspond ou ne correspond pas. Cette répartition nette est un indice sur ce qui se passe.
Les critères sans correspondance ISO
| SOC 2 | Exigence | Correspondance | ISO 27001 |
|---|---|---|---|
| P1.1 | Privacy notice | Aucune correspondance dans nos données | — |
| P2.1 | Choice and consent | Aucune correspondance dans nos données | — |
| P3.1 | Collection limited to privacy objectives | Aucune correspondance dans nos données | — |
| P3.2 | Explicit consent where required | Aucune correspondance dans nos données | — |
| P4.1 | Use limited to privacy objectives | Aucune correspondance dans nos données | — |
| P5.1 | Data subject access | Aucune correspondance dans nos données | — |
| P5.2 | Correction of personal information | Aucune correspondance dans nos données | — |
| P6.1 | Disclosure to third parties with consent | Aucune correspondance dans nos données | — |
| P6.2 | Record of authorized disclosures | Aucune correspondance dans nos données | — |
| P6.3 | Record of unauthorized disclosures | Aucune correspondance dans nos données | — |
| P6.4 | Privacy commitments from third parties | Aucune correspondance dans nos données | — |
| P6.5 | Notification by third parties of unauthorized disclosures | Aucune correspondance dans nos données | — |
| P6.7 | Accounting of disclosures to data subjects | Aucune correspondance dans nos données | — |
| P7.1 | Quality of personal information | Aucune correspondance dans nos données | — |
| P8.1 | Handling privacy inquiries, complaints and disputes | Aucune correspondance dans nos données | — |
| PI1.1 | Information about processing objectives | Aucune correspondance dans nos données | — |
| PI1.2 | Controls over system inputs | Aucune correspondance dans nos données | — |
| PI1.3 | Controls over system processing | Aucune correspondance dans nos données | — |
| PI1.4 | Controls over system outputs | Aucune correspondance dans nos données | — |
| PI1.5 | Storing inputs, items in processing and outputs | Aucune correspondance dans nos données | — |
Chaque critère de la liste provient de deux des cinq catégories de SOC 2 : intégrité du traitement (PI1) et vie privée (P1 à P8). Ces deux catégories sont facultatives. La catégorie Sécurité, les critères communs CC1 à CC9 que tout rapport SOC 2 inclut, correspond intégralement, de même que la disponibilité et la confidentialité.
Pourquoi l'intégrité du traitement n'a pas d'équivalent ISO
L'intégrité du traitement vérifie si un système traite les données de manière complète, exacte, dans les délais et conformément aux autorisations : les saisies sont contrôlées, les erreurs de traitement détectées, les sorties parviennent au bon destinataire et les données stockées restent cohérentes. Elle porte sur l'exactitude du service lui-même, et non sur la sécurité qui l'entoure.
ISO 27001 est une norme de sécurité de l'information. Elle protège la confidentialité, l'intégrité et la disponibilité de l'information, mais « intégrité » y désigne la protection contre les modifications non autorisées, et non le fait qu'un traitement de paie ait correctement calculé chaque salaire. Aucun contrôle de l'Annexe A ne vous demande de valider le traitement métier. Ainsi, si un client s'appuie sur votre système pour obtenir des montants exacts (paiements, facturation, paie, sinistres, chaînes de données), l'intégrité du traitement représente un travail nouveau, même avec un SMSI mature : validation des saisies, rapprochements, gestion des erreurs et contrôles des sorties, avec les preuves correspondantes.
Pourquoi la plupart des critères de vie privée n'ont pas d'équivalent ISO
Les critères de vie privée de SOC 2 suivent le cycle de vie des informations personnelles : information (P1), choix et consentement (P2), collecte (P3), utilisation, conservation et élimination (P4), accès et rectification (P5), communication (P6), qualité (P7) et suivi et réclamations (P8). Ce sont des exigences de programme de protection de la vie privée, plus proches du RGPD (GDPR) que de la sécurité.
ISO 27001 en couvre quelques-uns. A.5.34 impose d'identifier et de respecter les obligations relatives à la protection des données personnelles, A.5.33 traite de la protection des enregistrements, et A.8.10 de la suppression de l'information. C'est pourquoi la conservation (P4.2), l'élimination (P4.3) et la notification de violation (P6.6) apparaissent bien dans nos données, grâce à des liens éditoriaux accompagnés de leurs motifs. Le reste, comme les notices d'information sur la vie privée, le consentement, les demandes d'accès des personnes concernées et les registres des communications à des tiers, n'a aucun contrôle correspondant dans l'Annexe A.
Si vous en avez besoin, la norme ISO/IEC 27701 étend un SMSI à un système de management de la protection de la vie privée ; c'est la norme partenaire naturelle. Côté RGPD, consultez la comparaison entre ISO 27001 et les articles de sécurité du RGPD.
Que faire
- Définissez le périmètre en premier. N'incluez l'intégrité du traitement ou la vie privée que si vos clients en ont besoin. De nombreux rapports SOC 2 ne couvrent que la sécurité, ou la sécurité plus la disponibilité et la confidentialité.
- Si vous les incluez, traitez-les comme de nouveaux contrôles, et non comme un exercice de correspondance ISO : rédigez-les, mettez-les en œuvre et conservez les preuves pendant toute la période d'observation.
- Réutilisez le SMSI pour le reste. Le rapport d'analyse d'écarts ISO 27001 → SOC 2 répertorie chaque critère avec sa correspondance ISO, et notre article sur l'utilisation d'un jeu de contrôles unique pour les deux explique la démarche.
Le sens inverse est différent : en passant de SOC 2 à ISO 27001, le nouveau travail porte sur le système de management lui-même. La comparaison ISO 27001 vs SOC 2 couvre les deux sens.
Note sur les données
Il n'existe aucune correspondance SOC 2 sous licence ouverte : chaque lien SOC 2 présenté ici relève donc du jugement éditorial de ControlMapping, avec le motif affiché sur chaque page d'exigence. Les chiffres ci-dessus sont calculés en temps réel à partir des données actuelles.
Questions
ISO 27001 couvre-t-elle les critères de vie privée de SOC 2 ?
Pas vraiment. ISO 27001 protège les données personnelles en tant qu'information (A.5.34), mais n'exige ni notices d'information sur la vie privée, ni consentement, ni accès des personnes concernées, ni registres des communications. ISO/IEC 27701 étend un SMSI à la gestion de la vie privée et constitue la correspondance la plus proche.
Dois-je inclure l'intégrité du traitement dans un rapport SOC 2 ?
Non. Seule la catégorie Sécurité (les critères communs) est obligatoire. Ajoutez l'intégrité du traitement lorsque vos clients comptent sur votre système pour traiter leurs données de manière complète et exacte, par exemple pour les paiements ou la paie.
Données au 2026-10-27 : les chiffres de cet article sont calculés à partir de la correspondance actuelle et sont mis à jour lorsqu'elle évolue. Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Pas un conseil en conformité.
Articles connexes
Analyse · 2026-10-27APRA CPS 234 et ISO 27001 : ce que couvre votre SMSI et ce qu'APRA ajouteUn SMSI ISO 27001 couvre presque chaque paragraphe de la norme CPS 234 de l'APRA, mais l'APRA ajoute des obligations pour le conseil d'administration, l'assurance des tiers et des délais de notification stricts.
Analyse · 2026-10-27Cyber Essentials face à l'Essential Eight : deux référentiels nationaux comparésLe Cyber Essentials britannique et l'Essential Eight australien visent tous deux les attaques courantes, mais ils ne couvrent pas les mêmes domaines. Ce qui se recoupe, ce qui ne se recoupe pas, et pourquoi.
Analyse · 2026-10-27DORA vs NIS2 : ce qu'un programme NIS2 couvre déjàDORA et NIS2 partagent l'essentiel de la sécurité, mais DORA ajoute registre, clauses et tests basés sur la menace. Article par article, ce qui se reporte.