Certification ISO 27001 au Canada : en quoi elle diffère de SOC 2 et de la LPRPDE

Un fondateur de SaaS canadien que je connais a perdu une entente à six chiffres avec un réseau hospitalier de Toronto l'an dernier pour une seule raison : le questionnaire de sécurité de l'équipe d'approvisionnement comportait un filtre éliminatoire dès la première page. « Détenez-vous la certification ISO 27001 ? Oui ou non. » Il a répondu non. Son produit était sans doute plus sécuritaire que celui de deux des trois concurrents qui avaient répondu oui. Cela n'a rien changé. Le formulaire n'avait pas de case pour « nous sommes vraiment prudents, promis ».

C'est la réalité commerciale brutale qui pousse la plupart des entreprises SaaS canadiennes vers l'ISO 27001. Il ne s'agit pas d'une conversion soudaine à l'évangile de la gestion de la sécurité de l'information. Les acheteurs d'entreprise, les hôpitaux, les banques et, de plus en plus, les gouvernements ont fait du certificat une condition préalable à la conversation. Vous l'avez, ou vous êtes disqualifié avant que quiconque ne lise votre argumentaire.

Pourquoi les entreprises SaaS canadiennes courent après le certificat

Trois types d'acheteurs ont tendance à forcer la main. Le premier est le grand client d'entreprise doté d'un programme mature de gestion du risque fournisseur, qui considère votre certificat comme un moyen d'externaliser une partie de sa propre diligence raisonnable. Le deuxième est le secteur public, où les cadres d'approvisionnement renvoient à des normes reconnues et où un SGSI certifié franchit l'examen qu'un fournisseur non certifié ne peut pas passer. Le troisième surprend les gens : le client américain ou européen qui connaît SOC 2 et ISO 27001 par leur nom et n'a jamais entendu parler de la LPRPDE.

Ce dernier point compte plus que les fondateurs canadiens n'aiment l'admettre. Si vous ne vendez qu'au Canada, vous pouvez souvent vous en tirer avec une solide posture de confidentialité et un récit clair sur la LPRPDE. Dès l'instant où vous vendez à l'international, l'ISO 27001 devient la langue commune. C'est la seule attestation de sécurité qu'un fabricant allemand, une fintech britannique et un détaillant australien reconnaîtront tous au premier coup d'œil. SOC 2, en revanche, est surtout une convention nord-américaine.

Il y a aussi une raison plus discrète. Passer par la certification oblige une entreprise à réellement consigner par écrit la manière dont elle gère le risque. La plupart des équipes SaaS en démarrage gardent leurs pratiques de sécurité entièrement dans la tête du fondateur et dans quelques fils de discussion Slack. Le processus de certification les transforme en politiques documentées, en responsables définis et en preuves. Cette discipline a une valeur indépendante du logo que vous pourrez afficher sur votre site Web.

Ce qu'est réellement l'ISO 27001 (et ce qu'elle n'est pas)

L'ISO/CEI 27001 est une norme internationale pour un système de gestion de la sécurité de l'information, un SGSI. L'idée centrale n'est pas une liste de contrôle de pare-feux. C'est un cadre de gestion : vous définissez le périmètre de ce que vous protégez, vous réalisez une évaluation des risques, vous décidez quels contrôles s'appliquent, vous les mettez en œuvre, puis vous surveillez et améliorez en continu. La révision de 2022 a réorganisé les contrôles de l'annexe A en 93 contrôles répartis sur quatre thèmes (organisationnels, humains, physiques, technologiques), contre 114 dans l'ancienne version de 2013.

Le certificat lui-même provient d'un organisme de certification accrédité, et non de l'ISO. Au Canada, cet organisme devrait être accrédité par le Conseil canadien des normes ou un membre national d'accréditation équivalent. Un auditeur réalise un examen d'étape 1 de votre documentation, puis un audit d'étape 2 visant à vérifier si vous faites réellement ce que vos documents indiquent. Réussissez, et vous obtenez un certificat de trois ans assorti d'audits de surveillance annuels entre-temps. Sautez un audit de surveillance et le certificat expire.

Ce qu'elle n'est pas : une certification de confidentialité, une garantie que vous ne subirez pas d'atteinte, ou un substitut à la conformité juridique. L'ISO 27001 indique au monde que vous disposez d'un système opérationnel et audité de gestion du risque lié à la sécurité de l'information. À elle seule, elle ne dit rien sur la manière dont vous traitez les renseignements personnels légalement en vertu du droit canadien.

ISO 27001 c. SOC 2 c. LPRPDE

Ces trois éléments sont constamment confondus, et les différences sont pratiques, pas théoriques.

L'ISO 27001 est une certification par rapport à une norme internationale fixe. Vous répondez aux exigences ou non, et le résultat est un certificat réussite/échec. Elle est reconnue mondialement et bâtie autour de l'amélioration continue d'un système de gestion.

SOC 2 est un rapport d'attestation, pas une certification. Un cabinet de CPA indépendant examine vos contrôles par rapport aux critères des services de confiance de l'AICPA (sécurité, plus facultativement disponibilité, intégrité du traitement, confidentialité, protection de la vie privée) et rédige un rapport détaillé. Un rapport de type II couvre une période, généralement de 6 à 12 mois, et décrit dans quelle mesure vos contrôles ont fonctionné. Il n'y a pas d'insigne réussite/échec; il y a un rapport que l'équipe de sécurité d'un client lit. SOC 2 est la monnaie dominante dans la vente de SaaS aux États-Unis.

La LPRPDE est une loi. La Loi sur la protection des renseignements personnels et les documents électroniques est la loi fédérale sur la protection de la vie privée dans le secteur privé, appliquée par le Commissariat à la protection de la vie privée du Canada. On ne se fait pas « certifier » par rapport à la LPRPDE. Vous vous y conformez, ou vous faites face à une enquête du CPVP, et parce que la loi exige de déclarer les atteintes qui présentent un « risque réel de préjudice grave », la non-conformité peut devenir très publique très rapidement. La Loi 25 du Québec, supervisée par la Commission d'accès à l'information (CAI), va plus loin, avec des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, plus un droit privé d'action.

Voici la distinction que les fondateurs ratent le plus souvent :

L'ISO 27001 et SOC 2 prouvent que vous protégez bien les données. La LPRPDE et la Loi 25 dictent ce que vous avez le droit de faire avec les données personnelles en premier lieu. La sécurité est nécessaire à la confidentialité; elle n'est pas suffisante.

Vous pouvez détenir un certificat ISO 27001 impeccable et tout de même enfreindre la Loi 25 en, par exemple, omettant une évaluation des facteurs relatifs à la vie privée avant de transférer des renseignements personnels hors du Québec, ou en ignorant une demande de suppression. Les contrôles de la norme touchent à la confidentialité (l'annexe A inclut des contrôles pour la protection des renseignements personnels et la conformité juridique), mais la substance des obligations canadiennes en matière de vie privée se trouve dans les lois, pas dans la norme.

En quoi elles se complètent

Le choix avisé pour une entreprise SaaS canadienne n'est pas d'en choisir une. C'est de bâtir un environnement de contrôle unique qui alimente les trois.

Le chevauchement est substantiel. Le contrôle des accès, le chiffrement, la gestion des fournisseurs, la réponse aux incidents, la journalisation et la gestion des changements satisfont aux contrôles de l'annexe A de l'ISO 27001, correspondent proprement aux critères des services de confiance de SOC 2, et fournissent les « mesures de sécurité appropriées » qu'exige le principe 7 de la LPRPDE. Faites le travail une fois, organisez correctement les preuves, et vous pourrez présenter la même politique de chiffrement à un auditeur ISO, à un examinateur SOC 2 et à un enquêteur du CPVP.

Les marges sont là où les entreprises se font prendre. L'ISO 27001 ne vous obligera pas à documenter un fondement légal pour la collecte. Le critère de confidentialité de SOC 2 est facultatif, et beaucoup d'entreprises le sautent. Aucune des deux normes ne vous force à réaliser les évaluations des facteurs relatifs à la vie privée que la Loi 25 impose désormais, ni à nommer le responsable de la protection des renseignements personnels que la LPRPDE comme la Loi 25 s'attendent à vous voir désigner. Ce sont des obligations de confidentialité, et elles nécessitent leur propre traitement délibéré aux côtés de la certification de sécurité.

Le chemin vers la certification ISO 27001 que les entreprises canadiennes parcourent réellement

Pour une petite équipe SaaS, le parcours vers la certification ISO 27001 au Canada que décrivent les fondateurs prend généralement de six à douze mois et ressemble à peu près à ceci :

1. Définir le périmètre. Décidez ce qui est couvert, généralement votre plateforme SaaS de production et les données qu'elle traite. Un périmètre serré et honnête est moins coûteux à certifier et plus facile à maintenir qu'un périmètre ambitieux.
2. Réaliser une évaluation des risques et rédiger la Déclaration d'applicabilité. C'est le cœur du projet : pour chaque contrôle de l'annexe A, vous indiquez s'il s'applique et pourquoi. Les auditeurs vivent dans ce document.
3. Combler les écarts. Mettez en œuvre les contrôles manquants et rédigez les politiques. La majeure partie du calendrier passe ici.
4. Faire fonctionner le SGSI. Avant qu'un auditeur externe ne vous certifie, vous avez besoin de preuves que le système tourne, y compris une revue de direction, un audit interne et un cycle de traitement des risques. Les auditeurs veulent voir la machine en marche, pas seulement installée.
5. Audits d'étape 1 et d'étape 2. Revue documentaire, puis audit opérationnel. Corrigez toute non-conformité, obtenez la certification, puis maintenez-la grâce à la surveillance annuelle.

Budgétez honnêtement. Pour une petite entreprise SaaS canadienne, les seuls frais de l'organisme de certification s'élèvent souvent de 15 000 $ à 40 000 $ sur le cycle de trois ans, avant de compter le temps interne ou les consultants. C'est une fraction des mandats de conseil aux entreprises à un demi-million de dollars qui ont effrayé tant de fondateurs au point de les éloigner complètement de la conformité, mais c'est de l'argent réel, et la surveillance continue en fait un engagement, et non un achat ponctuel.

L'élément qui fait échouer la plupart des tentatives en solo n'est pas la compréhension de la norme. C'est de garder les preuves à jour. Un certificat obtenu il y a dix-huit mois ne vaut rien si vos revues d'accès ont cessé d'avoir lieu et que votre Déclaration d'applicabilité ne correspond plus à la réalité. Les entreprises qui maintiennent la certification sans douleur traitent leurs contrôles comme un système vivant et suivi plutôt que comme un cartable qu'elles ouvrent une fois par an en panique. Si vous préférez cartographier et surveiller ces contrôles en continu, aux côtés de vos obligations en vertu de la LPRPDE et de la Loi 25, en un seul endroit conçu pour les entreprises canadiennes, voyez comment Valdra suit les contrôles ISO 27001.