Ce que vous devez faire avant l’arrivée de l’auditeur, en clair, et ce qu’Engarde fait pour vous. Cochez au fur et à mesure : votre progression reste dans ce navigateur.
Sur ces 37 points, Engarde en prend 6 en charge et vous aide sur 19. Les 12 autres restent les vôtres, et aucun outil ne les fera à votre place.
Pour l’ISO 27001, le périmètre du SMSI : entités, sites, équipes et systèmes concernés. Pour SOC 2, la description du système, les critères retenus (Security est obligatoire), et Type I ou Type II.
ISO 27001 · 4.3
Une personne responsable de la sécurité, des rôles écrits, et une direction visiblement engagée. L’auditeur demandera qui décide et qui a signé.
ISO 27001 · 5.1, 5.3, A.5.2 SOC 2 · CC1.2, CC1.3
Postes, applications SaaS, stockages de données, et le responsable de chacun.
Engarde construit la partie SaaS, applications OAuth, extensions de navigateur et postes de l’inventaire à partir de ce qu’il observe. Serveurs, comptes cloud et bases de données restent à votre charge. Voir comment →
ISO 27001 · A.5.9 SOC 2 · CC6.1
Lister les risques, les coter, décider lesquels vous traitez et comment, et tenir le résultat à jour.
Engarde mesure la part humaine du risque : qui clique, qui partage des fichiers publiquement, quels comptes n’ont pas de MFA. La méthode et le registre restent les vôtres.
ISO 27001 · 6.1.2, 6.1.3, 8.2 SOC 2 · CC3.1, CC3.2
Pour chacune des 93 mesures de l’annexe A : applicable ou non, pourquoi, et comment elle est mise en œuvre.
ISO 27001 · 6.1.3
Une politique générale de sécurité et les politiques thématiques attendues : accès, mots de passe, postes, données, télétravail.
Engarde vous fait partir d’un ensemble de thèmes de politique que vous modifiez, traduisez et versionnez, plutôt que d’une page blanche. Voir comment →
ISO 27001 · A.5.1 SOC 2 · CC5.3
Chacun a lu et accepté les politiques qui le concernent, avec une date que vous pouvez montrer.
Les collaborateurs signent dans Engarde, les retardataires reçoivent des relances, et la trace est conservée par personne et par version. Voir comment →
ISO 27001 · A.5.1, A.6.2 SOC 2 · CC1.1, CC2.2
Ce que chacun peut faire, ou non, avec les postes, comptes, outils d’IA et données de l’entreprise.
L’usage acceptable fait partie des thèmes de politique fournis par Engarde, avec la même signature.
ISO 27001 · A.5.10 SOC 2 · CC2.2
Au moins une fois par an et après tout changement important, avec la trace de ce qui a changé.
Chaque modification est versionnée avec son historique : la trace de revue existe. Planifier la revue reste à votre charge.
ISO 27001 · A.5.1, A.5.37 SOC 2 · CC5.3
Des vérifications proportionnées au poste et permises par le droit local.
ISO 27001 · A.6.1 SOC 2 · CC1.4
Responsabilités de sécurité et confidentialité dans les contrats de travail et les accords de confidentialité.
ISO 27001 · A.6.2, A.6.6 SOC 2 · CC1.1
Une sensibilisation pour tous, à l’arrivée puis en continu, et des formations adaptées aux rôles.
Des formations courtes dans Slack et sur le web, des quiz espacés, et des modules par rôle (dirigeants, administrateurs, développeurs), en campagnes. Voir comment →
ISO 27001 · A.6.3 SOC 2 · CC1.4, CC2.2
Aucun des deux référentiels ne cite le phishing simulé, mais l’auditeur y voit la preuve que la sensibilisation est efficace, pas seulement dispensée.
Des simulations de phishing par e-mail avec pages d’atterrissage, planification et rapports, ainsi que des scénarios SMS et vocaux. Voir comment →
ISO 27001 · A.6.3, A.8.7 SOC 2 · CC2.2, CC3.2
Qui a suivi quoi, quand, avec quel résultat. C’est la première pièce demandée.
Chaque formation, quiz et événement de phishing est journalisé par collaborateur et s’exporte en CSV pour l’auditeur. Voir comment →
ISO 27001 · A.6.3, 7.2 SOC 2 · CC1.4
Les collaborateurs savent signaler un e-mail suspect ou un incident, et le font vraiment.
Les collaborateurs signalent un incident à l’assistant Engarde dans Slack, et ces signalements arrivent dans votre boîte d’alertes. Un e-mail suspect peut aussi être transféré pour un verdict immédiat.
ISO 27001 · A.6.8 SOC 2 · CC2.2, CC7.3
Comptes fermés, matériel et accès restitués, le jour du départ.
Engarde signale les comptes Google Workspace inactifs depuis 90 jours, là où se cachent les départs oubliés. Le processus de départ reste le vôtre. Voir comment →
ISO 27001 · A.5.11, A.6.5 SOC 2 · CC6.2
L’authentification multifacteur sur tous les comptes qui touchent aux données, administrateurs en premier.
Engarde liste les comptes Google Workspace sans MFA, les administrateurs sans MFA, et si la MFA est imposée, puis relance chaque personne. Voir comment →
ISO 27001 · A.8.5 SOC 2 · CC6.1
Une politique de contrôle d’accès, et des droits d’administration limités à ceux qui en ont besoin.
Engarde signale plus de trois super-administrateurs dans Google Workspace et les groupes ouverts à l’extérieur. Voir comment →
ISO 27001 · A.5.15, A.8.2 SOC 2 · CC6.1, CC6.3
Au moins chaque trimestre pour les systèmes critiques : qui a accès, et est-ce toujours justifié.
Les comptes dormants et les applications OAuth autorisées par chacun, avec un bouton de révocation. La revue de vos propres systèmes reste à votre charge. Voir comment →
ISO 27001 · A.5.18 SOC 2 · CC6.2, CC6.3
Une demande et une validation pour chaque nouvel accès, et un processus qui le retire.
ISO 27001 · A.5.16, A.5.17 SOC 2 · CC6.2
Un schéma simple (public, interne, confidentiel) et des étiquettes réellement utilisées.
Engarde forme les collaborateurs au schéma de classification. Le définir et étiqueter les données reste à votre charge. Voir comment →
ISO 27001 · A.5.12, A.5.13 SOC 2 · C1.1
Pas de liens publics vers des fichiers internes, pas d’agendas ou de boîtes mail transférés discrètement à l’extérieur.
Engarde détecte les partages Drive publics et externes, les agendas partagés à l’extérieur et les transferts automatiques de mails dans Google Workspace, et demande au propriétaire de corriger. Voir comment →
ISO 27001 · A.5.14, A.8.12 SOC 2 · CC6.7
Les services cloud utilisés par vos équipes, y compris ceux que personne n’a validés.
Les applications OAuth connectées à Google Workspace, les preneurs de notes IA en réunion, et l’usage des outils d’IA dès que vous branchez vos journaux réseau ou les clés d’administration de vos fournisseurs d’IA. Voir comment →
ISO 27001 · A.5.19, A.5.23 SOC 2 · CC9.2
Une évaluation des fournisseurs critiques, des clauses de sécurité dans les contrats, et une revue annuelle.
ISO 27001 · A.5.20, A.5.21, A.5.22 SOC 2 · CC9.2
Un registre des traitements, une base légale pour chaque usage, et une façon de répondre aux demandes des personnes (RGPD).
ISO 27001 · A.5.34 SOC 2 · P1.0
Chiffrement du disque, verrouillage, pare-feu et système à jour sur chaque poste qui touche aux données.
L’agent Engarde vérifie le chiffrement, le verrouillage, le pare-feu, la version du système et plus encore sur macOS, Windows et Linux. C’est un contrôle de conformité, pas un MDM complet. Voir comment →
ISO 27001 · A.8.1, A.8.24 SOC 2 · CC6.8
Des mises à jour appliquées selon un calendrier, sur les postes, les serveurs et les applications.
Engarde montre les postes sans mises à jour automatiques et les systèmes ou navigateurs obsolètes. Serveurs et applications restent hors périmètre. Voir comment →
ISO 27001 · A.8.8 SOC 2 · CC7.1
Un antivirus sur les postes, et des collaborateurs qui reconnaissent une pièce jointe piégée.
L’agent vérifie que l’antivirus est actif, et la formation et le phishing simulé couvrent la part humaine. Voir comment →
ISO 27001 · A.8.7 SOC 2 · CC6.8
Une extension peut lire chaque page et chaque champ de mot de passe. Sachez lesquelles sont installées et ce qu’elles peuvent faire.
L’extension Engarde remonte les extensions installées et leurs permissions dans toute l’équipe, classées par risque. Voir comment →
ISO 27001 · A.8.19 SOC 2 · CC6.8
Des journaux de sécurité collectés, conservés, et réellement consultés.
Engarde surveille les sources qu’il connecte (audit Google Workspace, postes, extensions) et lève des alertes. Vos serveurs et applications ont besoin de leur propre journalisation.
ISO 27001 · A.8.15, A.8.16 SOC 2 · CC7.2
Des sauvegardes de l’essentiel, isolées, et une restauration réellement testée.
ISO 27001 · A.8.13 SOC 2 · A1.2
Revue de code, environnements séparés, et changements validés avant la production.
Engarde forme les développeurs au code sécurisé (OWASP). Votre processus de changement reste le vôtre. Voir comment →
ISO 27001 · A.8.25, A.8.32 SOC 2 · CC8.1
Un plan écrit, qui appeler, et comment les incidents sont qualifiés, traités et analysés.
Engarde rassemble alertes et signalements des collaborateurs dans une seule boîte, avec un statut pour chacun. Le plan et la réponse restent les vôtres.
ISO 27001 · A.5.24, A.5.25, A.5.26 SOC 2 · CC7.3, CC7.4
Comment l’activité continue quand un système ou un fournisseur clé tombe, testé au moins une fois.
ISO 27001 · A.5.29, A.5.30 SOC 2 · A1.3
SOC 2 Type II couvre 3 à 12 mois de fonctionnement, et l’audit de surveillance ISO revient chaque année. Les preuves doivent s’accumuler, pas être rassemblées la semaine d’avant.
Les preuves de formation, de phishing et de politiques s’accumulent d’elles-mêmes et s’exportent à la demande. Celles des autres mesures restent à rassembler.
ISO 27001 · 9.1 SOC 2 · CC4.1
Vérifier le système par rapport à la norme avant l’auditeur, et faire revoir les résultats par la direction.
ISO 27001 · 9.2, 9.3 SOC 2 · CC4.1
Un organisme de certification accrédité pour l’ISO 27001, un cabinet d’expertise comptable (CPA) pour SOC 2. Réservez tôt : les délais se comptent en mois.
ISO 27001 · 9.2 SOC 2 · CC4.1
Formation, phishing, signature des politiques et les preuves qui vont avec, en place dès la première semaine, avec l’export que demande l’auditeur.
Demander un accès anticipéOu lisez pourquoi la formation seule ne change pas les comportements →
Une liste de travail, pas la norme : elle ne remplace ni l’ISO/IEC 27001:2022 et les 93 mesures de son annexe A, ni les Trust Services Criteria de l’AICPA, et ne constitue pas un conseil juridique. Les références renvoient à l’ISO/IEC 27001:2022 et aux Trust Services Criteria de 2017. Les contrôles SaaS d’Engarde couvrent Google Workspace aujourd’hui.