Conseil en conformité ISO 27001 & SOC 2
Les acheteurs entreprise demandent de plus en plus souvent ISO 27001 ou SOC 2 — surtout depuis que l’application de NIS2 s’est durcie dans toute l’UE. La certification ouvre des contrats valant des centaines de milliers d’euros, mais la préparation représente des mois de rédaction de politiques, de collecte de preuves et de coordination avec les auditeurs. Nous nous en chargeons entièrement.
De “nous voulons la certification” à “nous avons la certification”
Engagement à prix fixe couvrant l’intégralité du cycle de préparation. Le prix ne change pas si cela prend plus longtemps ; nous prenons le risque sur la durée.
Analyse des écarts
Évaluation détaillée de votre situation actuelle par rapport au cadre de contrôle. Priorisée par gravité bloquante pour l’audit. Vous voyez la liste complète des travaux avant de signer.
Rédaction de politiques
La suite complète de politiques rédigée pour votre entreprise : sécurité de l’information, utilisation acceptable, gestion des accès, réponse aux incidents, gestion des fournisseurs, gestion des changements, continuité d’activité, reprise après sinistre.
Implémentation des contrôles
Contrôles techniques déployés : application du MFA, configuration de la journalisation, gestion des vulnérabilités, chiffrement au repos, vérification des sauvegardes, processus d’évaluation des risques fournisseurs. Implémentation réelle dans votre environnement, avec des preuves collectées au fur et à mesure.
Collecte de preuves
La salle des preuves que tout auditeur demande : revues d’accès, journaux des changements, historique des analyses de vulnérabilités, suivi des formations, revues des fournisseurs, tests de continuité d’activité. Organisée par contrôle, prête à être remise.
Liaison avec les auditeurs
Nous travaillons directement avec l’auditeur de votre choix. Nous coordonnons le calendrier d’audit, préparons votre équipe pour les entretiens, répondons aux demandes de preuves et gérons la remédiation des constatations entre l’Étape 1 et l’Étape 2 (ou SOC 2 Type I / Type II).
Surveillance annuelle
Une fois certifié, le travail n’est pas terminé. Audits de surveillance annuels, collecte continue de preuves de surveillance, cadence de révision des politiques. Un retainer optionnel maintient tout en fonctionnement.
Le processus de préparation à la certification
Analyse des écarts & périmètre
Nous évaluons vos contrôles actuels par rapport au cadre pertinent (ISO 27001 Annexe A ou Critères des services de confiance SOC 2). Résultat : une liste d’écarts priorisée, un calendrier de remédiation et un devis à prix fixe pour l’engagement complet de préparation.
Remédiation & construction des politiques
Nous rédigeons la suite de politiques, implémentons les contrôles techniques, exécutons le programme de gestion des vulnérabilités et collectons les preuves en parallèle. Des mises à jour hebdomadaires vous tiennent informé à chaque étape.
Audit
Nous coordonnons l’audit avec l’organisme de certification ou le cabinet CPA de votre choix, gérons la salle des preuves, préparons votre équipe pour les entretiens avec les auditeurs et gérons les constatations de l’Étape 2 ou du Type II. Nous restons disponibles jusqu’à la clôture de l’audit.
Test d’intrusion + ISO/SOC 2 en un seul engagement
Le contrôle ISO 27001 A.8.8 exige la gestion des vulnérabilités. Le SOC 2 CC7.1 exige la même chose. Les deux demandent des preuves de tests externes réguliers — ce qui signifie que notre service de test d’intrusion produit déjà l’artefact que votre auditeur souhaitera. Combiner les deux signifie que la cadence des tests, le suivi de la remédiation et les preuves d’audit s’exécutent tous dans un flux coordonné.
Notre retainer vCISO complète généralement l’engagement : quelqu’un est propriétaire du programme de sécurité de façon continue, assiste à l’audit et représente votre entreprise devant l’auditeur. La plupart des clients exécutent les tests d’intrusion, la préparation ISO/SOC 2 et le retainer vCISO comme un programme combiné unique.
Questions fréquemment posées
Combien de temps prend la certification ISO 27001 ?
Du lancement à la décision de certification, ISO 27001 prend généralement 4–9 mois selon votre point de départ. Les entreprises sans contrôles de sécurité préalables prennent plus de temps ; celles ayant des pratiques de sécurité et une documentation existantes peuvent aller plus vite. Notre analyse des écarts (semaine 1) vous donne une estimation précise du calendrier avant le début de l’engagement principal.
SOC 2 vs ISO 27001 — de quoi ai-je besoin ?
SOC 2 est principalement requis par les acheteurs entreprise américains et devient la norme pour les entreprises SaaS vendant sur le marché américain. ISO 27001 est plus répandu dans les appels d’offres européens et est de plus en plus requis dans le cadre des obligations de la chaîne d’approvisionnement NIS2. Si vous vendez aux deux marchés, ou si vos acheteurs sont de grandes multinationales, vous pourriez avoir besoin des deux. Nous dimensionnons des engagements combinés qui satisfont les deux cadres avec une base de preuves partagée — généralement 20–35% moins cher que deux programmes séparés.
Combien coûte la conformité SOC 2 / ISO 27001 ?
Notre engagement à prix fixe pour un seul cadre (ISO 27001 ou SOC 2 Type I) commence à €25,000. SOC 2 Type II ou un programme dual ISO 27001 + SOC 2 est dimensionné individuellement. Le prix de l’engagement couvre l’analyse des écarts, la rédaction de politiques, l’implémentation des contrôles techniques, la collecte de preuves et la liaison avec les auditeurs. Les frais d’audit de l’organisme de certification ou du cabinet CPA sont séparés (généralement €5,000–€20,000 selon la taille de l’organisation).
Quelle est la différence entre SOC 2 Type I et Type II ?
SOC 2 Type I est une évaluation à un instant donné : il confirme que vos contrôles sont correctement conçus à une date spécifique. SOC 2 Type II couvre une période de temps (généralement 6–12 mois) et confirme que vos contrôles ont fonctionné efficacement tout au long de cette période. Les acheteurs entreprise et les équipes d’approvisionnement préfèrent massivement le Type II, car il prouve la cohérence opérationnelle plutôt que simplement l’intention de conception. Nous recommandons de passer directement au Type II sauf si vous avez une échéance spécifique à court terme qui nécessite un rapport Type I de transition.
Ai-je besoin d’ISO 27001 pour la conformité GDPR ?
ISO 27001 n’est pas requis par le GDPR, mais il soutient considérablement la conformité au GDPR. L’article 32 du GDPR exige des “mesures techniques et organisationnelles appropriées” pour protéger les données personnelles — et un ISMS ISO 27001 est la preuve la plus défendable que ces mesures existent. De nombreuses APD et régulateurs considèrent la certification ISO 27001 comme une preuve solide de conformité GDPR pour les obligations de sécurité. Si vous traitez des volumes importants de données personnelles de l’UE, ISO 27001 vaut la peine d’être poursuivi pour la seule gestion des risques réglementaires.
Pouvez-vous gérer à la fois SOC 2 et ISO 27001 en un seul engagement ?
Oui, et nous le recommandons si les deux sont requis. Les cadres de contrôle se chevauchent considérablement : environ 70% des contrôles de l’Annexe A ISO 27001 correspondent aux Critères des services de confiance SOC 2. Nous exécutons un programme unifié de collecte de preuves qui satisfait les deux, réduisant le coût total et le temps écoulé par rapport à deux programmes séparés exécutés séquentiellement. Nous vous conseillerons sur le séquençage en fonction de la certification que vos acheteurs demandent en premier.
Explorer les services de conformité spécifiques
Évaluation de préparation SOC 2
Analyse des écarts, cartographie des critères des services de confiance et conseils sur la collecte de preuves avant votre audit SOC 2.
Conseil ISO 27001
Conception de l’ISMS, registre des risques, rédaction de politiques et accompagnement à l’audit de certification — prix fixe par cycle.
Conformité sans la majoration des cabinets de conseil
Dites-nous quelle certification vous visez et les preuves que vous avez déjà — nous reviendrons avec un périmètre et un prix fixe.
Nous contacter → Penetration Testing →