ISO 27001 vs SOC 2 : ce qui se transpose, et ce qui ne se transpose pas

Par Paul Gillet · Mis à jour le 2026-10-17

ISO/IEC 27001 et SOC 2 répondent à la même question de vos clients, « pouvez-vous nous confier nos données ? », mais de manières différentes. ISO 27001 certifie un système de management : un organisme de certification accrédité confirme que vous exploitez un système de management de la sécurité de l'information (SMSI) conforme aux clauses 4 à 10 et que vous avez décidé, dans une Déclaration d'applicabilité, lesquels des 93 contrôles de l'Annexe A s'appliquent. SOC 2 est une attestation : un cabinet CPA rend compte de la conformité de vos contrôles aux Trust Services Criteria de l'AICPA. Un rapport de Type II couvre leur fonctionnement sur une période, généralement de 3 à 12 mois.

Le recouvrement technique est important. La gestion des accès, la journalisation et la surveillance, la gestion des changements, la gestion des vulnérabilités, la réponse aux incidents, la gestion des fournisseurs et les sauvegardes figurent dans les deux, et la plupart des travaux de sécurité réalisés pour l'un comptent aussi pour l'autre. Les différences portent sur la structure et l'accent plutôt que sur les contrôles eux-mêmes.

En passant de SOC 2 à ISO 27001, le travail supplémentaire réel concerne le système de management. ISO exige un périmètre défini du SMSI, des objectifs de sécurité de l'information, des informations documentées maîtrisées, un processus d'appréciation et de traitement des risques avec une Déclaration d'applicabilité, des audits internes et des revues de direction. Ce sont les clauses ISO qui apparaissent comme non couvertes ci-dessous, ainsi que certains contrôles de l'Annexe A (notamment la sécurité physique) que les auditeurs SOC 2 traitent souvent avec légèreté pour les entreprises entièrement dans le cloud.

En passant d'ISO 27001 à SOC 2, presque tous les critères de sécurité, y compris ceux de l'environnement de contrôle (surveillance du conseil d'administration, intégrité et valeurs éthiques, responsabilité), ont un équivalent ISO. Le travail nouveau concerne les catégories facultatives que vous incluez. L'intégrité du traitement et la plupart des critères Privacy n'ont pas d'équivalent dans le SMSI et apparaissent ici comme « Aucune correspondance dans nos données » ; les exceptions sont la conservation, la destruction et la notification de violation, que les contrôles ISO relatifs aux enregistrements, à la suppression et aux incidents couvrent en partie. La disponibilité et la confidentialité sont généralement proches de ce qu'ISO exige déjà.

En bref

Lequel vous faut-il ?

Partez de la question : qui le demande ? Si des clients d'entreprises américaines envoient des questionnaires de sécurité demandant « votre SOC 2 », un rapport SOC 2 de Type II est ce qui permet de conclure le contrat ; un certificat ISO est souvent accepté, mais pas toujours. Si les clients sont en Europe, en Asie ou dans le secteur public, ou si les appels d'offres mentionnent ISO/IEC 27001, le certificat est la réponse attendue. Beaucoup d'éditeurs de logiciels qui vendent à l'international finissent par avoir les deux.

Si personne ne le demande encore, ISO 27001 construit un programme plus durable, car le système de management impose l'appréciation des risques, les objectifs, l'audit interne et la revue de direction. SOC 2 permet d'obtenir plus vite un premier livrable si un contrat précis en dépend.

Faire les deux sans tout faire deux fois

1. Construisez un seul ensemble de contrôles. Associez chaque contrôle à son contrôle de l'Annexe A et à son critère Trust Services ; la comparaison ci-dessous montre où ils se recoupent.
2. Rédigez le SMSI une seule fois. Le périmètre, l'appréciation des risques, la Déclaration d'applicabilité, l'audit interne et la revue de direction sont des exigences ISO, mais ils fournissent aussi aux auditeurs SOC 2 les éléments de gouvernance que demandent les CC1 à CC5.
3. Collectez les preuves en continu. SOC 2 de Type II échantillonne les preuves sur toute la période ; les preuves collectées pour lui servent donc aussi aux audits de surveillance ISO.
4. Alignez le calendrier d'audit. Certains cabinets proposent des audits combinés ou enchaînés ; aligner la période SOC 2 sur le cycle de surveillance ISO réduit les perturbations.
5. Surveillez les écarts dans les deux sens. SOC 2 ajoute Privacy et l'intégrité du traitement si elles sont dans le périmètre ; ISO ajoute les clauses du système de management et la sécurité physique que les périmètres SOC 2 entièrement dans le cloud traitent avec légèreté.

Coût et effort

Aucun des deux n'a de prix fixe. Les honoraires externes (organisme de certification ou cabinet CPA) dépendent du périmètre, de l'effectif et des sites, et sont généralement inférieurs à l'effort interne et aux outils. Pour une petite entreprise qui en est à sa première démarche, prévoyez des mois de travail à temps partiel de la part de la personne qui pilote le programme, en plus des honoraires d'audit. Faire les deux coûte moins que deux fois l'un ou l'autre, car la plupart des contrôles et des preuves sont partagés.

Un calendrier réaliste pour faire les deux

Un parcours courant pour un éditeur de logiciels qui commence par SOC 2 :

1. Mois 1 à 3 : préparation. Définir le périmètre du système, rédiger les politiques, combler les écarts relevés par l'analyse d'écarts, choisir un cabinet CPA.
2. Mois 3 : Type I (facultatif), dès que les contrôles sont conçus et en place.
3. Mois 3 à 9 : première période d'observation de Type II, généralement de trois à six mois, le rapport étant remis quelques semaines après sa fin.
4. Mois 6 à 12 : ajouter le SMSI. Définir le périmètre ISO, réaliser l'appréciation des risques, rédiger la Déclaration d'applicabilité et tenir un audit interne ainsi qu'une revue de direction. La plupart des contrôles de l'Annexe A fonctionnent déjà pour SOC 2.
5. Mois 10 à 14 : audits ISO étapes 1 et 2.

Commencer par ISO 27001 inverse l'ordre : six à douze mois jusqu'à la certification, puis une vérification de préparation SOC 2 et une période d'observation de trois à six mois. Dans les deux cas, le second référentiel demande une fraction du temps du premier.

Exemple détaillé : un éditeur SaaS de 50 personnes

Prenons un éditeur de logiciels B2B de 50 personnes disposant d'un rapport SOC 2 de Type II couvrant la sécurité, la disponibilité et la confidentialité. Un grand client européen exige désormais une certification ISO 27001.

Ce qui se reporte : la gestion des accès, la gestion des changements, la journalisation et la surveillance, la gestion des vulnérabilités, la réponse aux incidents, la gestion des fournisseurs, les sauvegardes et la continuité d'activité. L'entreprise exploite déjà ces contrôles et collecte les preuves correspondantes ; ils passent donc largement tels quels dans la Déclaration d'applicabilité.

Ce qui est nouveau : le SMSI lui-même. L'entreprise a besoin d'un périmètre documenté (probablement le produit, son infrastructure et les équipes qui l'exploitent), d'objectifs de sécurité de l'information assortis de mesures, d'une méthode formelle d'appréciation des risques et d'un registre, d'une Déclaration d'applicabilité avec des exclusions justifiées, d'un audit interne réalisé par une personne indépendante du travail audité, et d'une revue de direction avec compte rendu. Quelques contrôles de l'Annexe A demandent aussi de l'attention, typiquement la sécurité physique des bureaux et la veille sur les menaces.

Ce que cela coûte : principalement le temps de la personne responsable du SMSI, plus les honoraires de l'organisme de certification et un auditeur interne externe si personne d'indépendant n'est disponible. Les contrôles et les preuves existant déjà, le second référentiel coûte bien moins cher que le premier.

Points clés à retenir

• Un seul ensemble de contrôles, des preuves produites pour les deux. Associez chaque contrôle à la fois à un contrôle de l'Annexe A et à un critère Trust Services.
• SOC 2 → ISO : prévoyez le budget pour le SMSI lui-même (périmètre, objectifs, traitement des risques, SoA, audit interne, revue de direction), et non pour de nouveaux contrôles techniques.
• ISO → SOC 2 : décidez tôt des catégories facultatives pour lesquelles vous êtes dans le périmètre. Privacy et l'intégrité du traitement sont les domaines où apparaît le nouveau travail.

Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →