Cartographier une fois, se conformer plusieurs fois : la correspondance des contrôles entre SOC 2, ISO 27001 et ISO 42001

La correspondance des contrôles consiste à rédiger un contrôle, à le mettre en œuvre une seule fois et à le rattacher simultanément aux exigences de plusieurs cadres. Bien faite, elle supprime l'essentiel de la duplication entre SOC 2, ISO 27001 et ISO 42001. Faite sans rigueur, elle produit un tableau de correspondance impressionnant qui ne satisfait personne, parce qu'une exigence a été déclarée couverte alors qu'elle ne l'était qu'approximativement.

Le recoupement est réel et important. Le résidu l'est aussi.

Où les trois cadres se recoupent-ils vraiment ?

À la couche de sécurité opérationnelle, presque entièrement. Contrôle des accès, gestion des changements, chiffrement, journalisation, gestion des fournisseurs, réponse aux incidents, continuité des activités et sensibilisation figurent dans les trois, formulés différemment.

Un seul contrôle d'accès, correctement mis en œuvre et prouvé, peut satisfaire une exigence des critères communs de SOC 2, un contrôle de l'annexe A d'ISO 27001 et le volet opérationnel d'un système de management ISO 42001. Vous rédigez la procédure une fois, exécutez la vérification nocturne une fois et produisez un artefact de preuve que trois évaluateurs acceptent.

Le motif est clair : plus on descend, moins le travail est transférable. Les quatre dernières lignes sont celles où les équipes sous-estiment largement l'effort.

Ce qui diffère vraiment, et pourquoi cela compte

Trois différences font de réels dégâts lorsqu'on les escamote.

ISO veut un système de management, pas seulement des contrôles. ISO 27001 et ISO 42001 exigent toutes deux une couche de gouvernance autour des contrôles : définition du domaine d'application, méthodologie de risque documentée, objectifs, audits internes et revue de direction avec décisions consignées. SOC 2 n'a pas d'équivalent. Une entreprise dotée d'excellents contrôles SOC 2 peut échouer à un audit de certification ISO faute de tout système de management, et cela surprend des gens chaque année.

ISO 42001 évalue l'incidence sur les personnes, pas seulement le risque pour l'organisation. Les cadres de sécurité demandent ce qui pourrait nuire à l'entreprise. ISO 42001 demande en plus ce que le système d'IA pourrait faire aux personnes qu'il touche : résultats inéquitables, décisions inexpliquées, préjudice causé par une réponse erronée acceptée sans révision. C'est une analyse différente avec un résultat différent, et elle ne peut pas être héritée d'un registre de risques de sécurité. Notre volet gouvernance de l'IA la traite pour cette raison comme une évaluation distincte.

Les domaines d'application ne sont pas interchangeables. Celui d'ISO 27001 se trace habituellement autour de systèmes et de sites. Celui d'ISO 42001 se trace autour des systèmes d'IA et de leur cycle de vie. Recopier l'un dans l'autre produit un périmètre qui ne couvre rien d'utile ou qui vous engage bien au-delà de vos intentions.

Comment bâtir la correspondance sans se mentir ?

Appliquez une règle honnête : un contrôle n'est rattaché à une exigence que si la même preuve satisferait les deux évaluateurs sans modification.

Cette règle élimine la plupart des correspondances optimistes. Si satisfaire ISO 42001 exige la même revue des accès plus un champ supplémentaire indiquant si le système consulté était un système d'IA, alors le contrôle n'est pas entièrement rattaché : il l'est avec un écart, et cet écart a besoin d'un responsable.

Séquence pratique :

1. Rédigez les contrôles dans votre langage, pas celui du cadre. Les cadres changent. Un contrôle nommé « revue trimestrielle des accès avec retraits documentés » survit ; un contrôle nommé « CC6.2 » ne survit pas.
2. Rattachez chaque contrôle à toutes les exigences qu'il satisfait, et consignez l'artefact de preuve une seule fois.
3. Marquez honnêtement les correspondances partielles en écrivant l'écart. Partiel, c'est acceptable. Partiel non signalé, c'est ce qui fait échouer un audit.
4. Listez les orphelines. Les exigences sans contrôle constituent votre véritable plan de projet. Dans la plupart des premières démarches ISO 42001, les orphelines sont l'évaluation d'incidence de l'IA, la documentation du cycle de vie des données et la revue de direction.
5. Tenez une seule piste de preuve, pas trois. Trois pistes divergent en moins d'un an.

Une certification donne-t-elle une avance sur la suivante ?

Oui, considérablement, et l'ordre compte.

Les équipes qui détiennent déjà SOC 2 trouvent en général ISO 27001 accessible, car la substance des contrôles existe et il ne manque que la couche du système de management et la déclaration d'applicabilité. Celles qui passent d'ISO 27001 à ISO 42001 possèdent la machinerie de gouvernance et doivent ajouter le contenu propre à l'IA : l'inventaire des systèmes, les évaluations d'incidence, le cycle de vie des données et les modalités de supervision humaine.

L'ordre inverse, ISO 42001 en premier, est habituellement une erreur, sauf si la gouvernance de l'IA est la seule chose que vos acheteurs réclament. Le socle de sécurité pèse davantage dans la plupart des conversations d'approvisionnement au Canada aujourd'hui.

Pour une comparaison simple de la finalité de chaque norme avant de vous engager, ISO 42001 vs SOC 2 traite de la décision elle-même.

Ceci est de l'information générale et non un avis juridique.

Valdra maintient un jeu de contrôles unique rattaché à plusieurs cadres, de sorte qu'une seule preuve répond à la fois à SOC 2, ISO 27001 et ISO 42001, et que les exigences orphelines apparaissent comme une liste de travaux plutôt que comme une surprise. Les vues ISO 27001 et préparation SOC 2 partagent les mêmes contrôles sous-jacents.