Certification · ISO 27001 · SOC 2
Feuille de route ISO 27001 / SOC 2
Un grand compte conditionne la signature ou le renouvellement à une certification ISO 27001 ou à un rapport SOC 2. En trois semaines environ, je mesure l'écart, je construis le plan pour y arriver en 6 à 9 mois et je vous aide à choisir l'outil GRC, l'auditeur et le budget.
Pour qui
- PME et ETI de tous secteurs à qui un client grand compte demande une certification
- Équipes sans RSSI ni responsable conformité à temps plein, où le sujet repose sur le DSI, le CTO ou un dirigeant
- Entreprises qui ont déjà des pratiques de sécurité, mais pas de système de management ni de preuves organisées
Contexte habituel
Un prospect ou un client grand compte demande une certification ISO 27001 ou un rapport SOC 2, dans un appel d'offres, un questionnaire de sécurité ou au moment du renouvellement.
Viennent alors les questions pratiques : combien de temps, combien d'argent, quel outil, quel auditeur, et qui s'en occupe. Il faut une réponse à donner au client, et un plan que l'équipe peut tenir sans mettre l'activité à l'arrêt.
Déroulement
Une mission courte, au forfait, qui se termine par des décisions prises et un plan prêt à démarrer.
Cadrage et choix du référentiel
Ce que le client exige (ISO 27001, SOC 2 ou les deux), périmètre à certifier (activités, sites, équipes, systèmes) et échéance commerciale à tenir.
Analyse d'écart
Entretiens avec les équipes, revue de l'existant (accès, développement, hébergement, sauvegardes, gestion des incidents, documentation) et écarts classés par priorité et par effort.
Plan sur 6 à 9 mois
Jalons, responsables, charge interne estimée, enchaînement jusqu'à l'audit de certification ou d'attestation.
Outil, auditeur, budget
Critères de choix d'un outil GRC adapté à votre taille, critères de choix de l'organisme de certification ou du cabinet d'audit SOC 2, et budget complet : licences, audit, temps interne, accompagnement éventuel. La comparaison porte toujours sur plusieurs outils (voir la mention de partenariat ci-dessous).
Livrables
- Un rapport d'analyse d'écart priorisé
- Un plan de mise en conformité sur 6 à 9 mois, avec jalons et responsables
- Une recommandation argumentée sur l'outil GRC et sur l'auditeur
- Un budget prévisionnel complet
- Une note courte à transmettre au client qui exige la certification
- Une restitution à la direction
Format et durée
- Format
- Forfait, entièrement à distance : entretiens en visioconférence et restitution
- Durée indicative
- Environ 3 semaines
- Tarif
- Forfait, sur devisEstimer le budget de cette offre
- Indépendance
- Cybertarian est partenaire de Drata, éditeur d'une plateforme GRC, et peut être rémunéré à ce titre. Je le signale aussi dans chaque proposition. La comparaison porte sur plusieurs outils et le choix vous revient.
Questions fréquentes
ISO 27001 ou SOC 2 ?
Cela dépend de vos clients. Les grands comptes européens demandent le plus souvent ISO 27001 ; les clients nord-américains attendent généralement un rapport SOC 2. Les deux référentiels se recouvrent largement : si vous avez besoin des deux, le plan construit un socle de contrôles commun.
Trois semaines suffisent-elles pour être certifié ?
Non. Les trois semaines produisent le diagnostic, le plan et les décisions. La mise en conformité elle-même prend en général 6 à 9 mois, selon votre point de départ et le périmètre retenu.
Et après la feuille de route ?
Vos équipes peuvent conduire le plan seules. Si vous préférez un pilotage extérieur jusqu'à l'audit, l'offre vCISO prend le relais à raison de 1 à 2 jours par mois.
Êtes-vous lié à un éditeur d'outil GRC ?
Oui : Cybertarian est partenaire de Drata. Je vous le dis dès le premier échange et dans la proposition. La recommandation compare plusieurs outils selon vos critères (taille, référentiels, budget, intégrations) ; si un autre outil vous convient mieux, c'est celui-là que je recommande.
Premier entretien
Un entretien de 30 minutes permet de préciser ce que demande votre client, votre échéance et le périmètre concerné, et de vérifier que la feuille de route est la bonne première étape.