Une jeune entreprise SaaS du Mile-End, 22 employés, vend une plateforme de planification pour cliniques. En une semaine, deux courriels arrivent. Un prospect de Boston : « Pouvez-vous nous envoyer votre rapport SOC 2 ? » Un distributeur de Lyon : « Êtes-vous certifiés ISO 27001 ? »
Le fondateur se pose la question que se posent toutes les PME technos à ce stade : faut-il faire les deux ? Lequel d'abord ? Et combien d'énergie cela va-t-il demander à une équipe qui doit aussi livrer son produit ?
Bonne nouvelle : les deux référentiels se recoupent largement. Mauvaise nouvelle : ils ne répondent pas à la même logique, et choisir le mauvais en premier peut coûter un cycle de vente.
En bref
- ISO 27001 certifie un système de management de la sécurité de l'information; SOC 2 est un rapport d'attestation émis par un cabinet de CPA sur vos contrôles.
- Le marché américain demande surtout SOC 2; l'Europe et l'international demandent surtout ISO 27001; au Canada, les deux circulent.
- Le meilleur critère de choix est simple : ce que vos clients actuels et visés exigent dans leurs contrats.
- Bâtissez un seul ensemble de contrôles, documenté une fois, qui servira aux deux référentiels.
Deux logiques différentes
ISO/IEC 27001 est une norme internationale qui définit les exigences d'un système de management de la sécurité de l'information (SMSI). Elle ne vous dit pas seulement quels contrôles appliquer : elle exige une démarche de gestion. Vous définissez un périmètre, vous évaluez vos risques, vous choisissez vos mesures, vous les révisez et vous vous améliorez. L'édition 2022 compte 93 mesures dans son annexe A, réparties en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques.
SOC 2 est un cadre de l'AICPA, l'association américaine des comptables professionnels agréés. Un cabinet de CPA examine vos contrôles par rapport aux critères des services de confiance (Trust Services Criteria) : sécurité, toujours incluse, plus au choix disponibilité, intégrité du traitement, confidentialité et protection de la vie privée. Le résultat n'est pas un certificat, mais un rapport détaillé contenant l'opinion de l'auditeur.
Autrement dit : ISO 27001 vérifie que vous gérez la sécurité de façon structurée; SOC 2 décrit vos contrôles et dit s'ils sont bien conçus et, pour le Type 2, s'ils ont réellement fonctionné.
Le comparatif en un coup d'œil
| Critère | ISO 27001 | SOC 2 |
|---|---|---|
| Nature | Certification d'un système de management | Rapport d'attestation sur des contrôles |
| Référentiel | Norme internationale ISO/IEC 27001:2022 | Critères des services de confiance de l'AICPA |
| Qui évalue | Organisme de certification accrédité | Cabinet de CPA |
| Livrable | Certificat, souvent vérifiable publiquement | Rapport détaillé, partagé sous entente de confidentialité |
| Variantes | Une seule norme, périmètre défini par l'entreprise | Type 1 (conception à une date) ou Type 2 (fonctionnement sur une période) |
| Marchés où il domine | Europe, international, secteurs industriels | États-Unis, logiciels et services infonuagiques |
| Ce que le client lit | Le périmètre inscrit sur le certificat | La description du système, les contrôles testés et les exceptions |
Le vrai critère : qui vous le demande ?
Avant de comparer les référentiels, regardez vos contrats et vos appels d'offres. Quelques cas typiques :
- L'entreprise SaaS du Mile-End. Son marché de croissance est américain : elle vise un rapport SOC 2 Type 2. Pour son distributeur de Lyon, elle peut proposer le rapport SOC 2 en attendant, puis viser ISO 27001 une fois la base en place.
- Un éditeur de logiciels industriels de Sherbrooke qui vend en Europe et à de grands manufacturiers : ISO 27001 d'abord, c'est le langage de ses acheteurs.
- Un fournisseur de services gérés de Québec qui répond à des appels d'offres canadiens : il doit lire les exigences ligne par ligne, car les deux sont souvent acceptés, parfois aux côtés d'autres preuves.
- Une agence de 25 personnes dont aucun client ne pose la question : ni l'un ni l'autre pour l'instant. Une démarche plus légère, comme la certification CyberSécuritaire Canada, ou simplement l'application de contrôles de base, peut suffire.
Une erreur fréquente : choisir le référentiel jugé « plus prestigieux » plutôt que celui qui débloque les ventes. Le bon choix est celui qui fait disparaître l'objection de vos acheteurs.
Ce que ça implique pour une PME de 25 employés
Pour ISO 27001, l'effort porte beaucoup sur la gestion. Il faut :
- définir le périmètre du SMSI;
- mener une appréciation des risques et rédiger la déclaration d'applicabilité, qui justifie chaque mesure retenue ou exclue;
- rédiger et faire approuver les politiques;
- réaliser un audit interne et une revue de direction;
- démontrer l'amélioration continue d'un audit à l'autre.
La direction doit s'impliquer réellement : l'auditeur le vérifiera.
Pour SOC 2, l'effort porte sur la preuve continue. Pendant la période d'observation d'un Type 2, chaque contrôle doit laisser une trace : revues d'accès trimestrielles, arrivées et départs d'employés traités dans les délais, changements au code approuvés, sauvegardes vérifiées. Un contrôle qui fonctionne mais ne laisse aucune trace est, pour l'auditeur, un contrôle absent.
Attendez-vous aussi à ce que vos clients lisent le rapport attentivement. Leurs équipes de sécurité vont droit aux exceptions relevées par l'auditeur et aux contrôles qui reposent sur eux, comme la gestion de leurs propres utilisateurs. Si la période couverte s'est terminée il y a plusieurs mois, ils pourront demander une lettre de transition (« bridge letter ») : une déclaration de la direction qui couvre l'intervalle jusqu'au prochain rapport.
Dans les deux cas, vos clients et vos auditeurs s'attendront à voir des évaluations techniques régulières. Un test d'intrusion annuel est presque toujours demandé; encore faut-il distinguer ce qu'il apporte par rapport à un simple scan, comme nous l'expliquons dans notre article sur les différences entre audit, test d'intrusion et scan de vulnérabilités.
Faire les deux sans doubler le travail
Les deux référentiels demandent en grande partie les mêmes choses : gestion des accès, MFA, journalisation, gestion des fournisseurs, réponse aux incidents, continuité, formation. La stratégie efficace consiste à bâtir un seul ensemble de contrôles, puis à le mettre en correspondance avec chaque référentiel.
Un ordre logique pour une PME :
- Évaluation de préparation. Mesurez l'écart entre vos pratiques et le référentiel visé en premier.
- Contrôles de base. MFA partout, comptes d'administration séparés, sauvegardes isolées et testées, correctifs à jour.
- Documentation. Politiques courtes, réellement appliquées, plutôt que des gabarits de 40 pages que personne ne lit.
- Premier référentiel. Celui que vos clients exigent.
- Second référentiel. Réutilisez les mêmes preuves et ajoutez seulement ce qui manque.
Attention à un angle mort : ni ISO 27001 ni SOC 2 ne garantissent votre conformité à la Loi 25. Les obligations québécoises (responsable de la protection des renseignements personnels, registre des incidents, EFVP, avis à la CAI) s'ajoutent à votre démarche, comme le détaille notre checklist Loi 25. Validez ces points avec votre conseiller juridique.
Checklist de préparation
- Recenser ce que vos 10 plus gros clients et prospects exigent noir sur blanc.
- Choisir le premier référentiel en fonction de ces exigences.
- Définir le périmètre : produit, systèmes, équipes, fournisseurs infonuagiques.
- Nommer un responsable interne du projet, avec du temps réservé.
- Faire une évaluation de préparation indépendante.
- Corriger les écarts de base : MFA, comptes administrateurs, sauvegardes, correctifs.
- Mettre en place la collecte de preuves dès maintenant, avant la période d'observation.
- Planifier un test d'intrusion avant l'audit, pour corriger les failles à temps.
Une démarche ISO 27001 ou SOC 2 se gère sur plusieurs mois, puis se maintient chaque année. Notre service d'accompagnement continu joue ce rôle de responsable de la sécurité à temps partiel : préparation, suivi des preuves et coordination avec les auditeurs.
Questions fréquentes
Combien de temps faut-il pour obtenir un premier rapport SOC 2 Type 2 ?+
Il faut d'abord une phase de préparation pour mettre les contrôles en place, puis une période d'observation pendant laquelle ils doivent fonctionner, souvent de plusieurs mois. Le cabinet de CPA rédige ensuite le rapport. Plusieurs entreprises commencent par un rapport Type 1 pour répondre rapidement à un client, puis enchaînent avec le Type 2.
Un certificat ISO 27001:2013 est-il encore valable ?+
Non. La période de transition vers l'édition 2022 s'est terminée le 31 octobre 2025, et les certificats fondés sur l'édition 2013 ont expiré ou ont été retirés. Si un fournisseur vous présente encore un tel certificat, demandez-lui où en est sa certification selon l'édition 2022.
Faut-il refaire l'audit chaque année ?+
Pour ISO 27001, le certificat couvre un cycle de trois ans, avec des audits de surveillance annuels et un audit de recertification à la fin du cycle. Pour SOC 2, les clients s'attendent généralement à recevoir un nouveau rapport Type 2 chaque année, couvrant la période écoulée.
Peut-on certifier ISO 27001 une partie seulement de l'entreprise ?+
Oui. L'entreprise définit le périmètre de son système de management : un produit SaaS, un site, un service. Ce périmètre figure sur le certificat et vos clients le liront. Un périmètre trop étroit risque toutefois de ne pas répondre à leurs attentes; validez-le avec eux avant de lancer la démarche.