Des solutions sur mesure pour les startups et scale-ups
Les jeunes entreprises grandissent grâce à des clients plus grands qu’elles. Ces clients vérifient comment vous traitez les données avant de signer. Sightadel vous aide à poser tôt une base légère selon ISO 27001, qui grandit avec l’entreprise et porte plus tard aussi SOC 2 ou NIS2.
Situation de départ
Les premières années, chaque heure compte pour le produit et les ventes. La sécurité de l’information se fait en parallèle, souvent bien, mais rarement par écrit. Accès, sauvegardes et chiffrement sont en place, mais personne ne pourrait prouver d’emblée qui a vérifié quoi et quand.
Cela change avec le premier grand client. Les achats envoient un questionnaire de sécurité, le service juridique un contrat de sous-traitance, l’informatique veut voir un certificat. Lors d’une levée de fonds, les investisseurs posent les mêmes questions dans la due diligence.
Commencer tôt simplifie les choses. Une petite équipe avec peu de systèmes se décrit vite, et les bonnes habitudes s’installent avant les mauvaises. Quand l’entreprise grandit, le SMSI grandit avec elle, au lieu d’être reconstruit plus tard à grand effort.
Pourquoi maintenant
La signature dépend d’un certificat ou d’un questionnaire rempli. Sans preuve, le contrat est retardé ou part chez un concurrent.
Les investisseurs examinent la sécurité de l’information et la protection des données dans la due diligence. Des réponses justifiées font gagner du temps et évitent les relances.
Les clients aux États-Unis demandent généralement un rapport SOC 2. Si vous avez déjà mis en place ISO 27001, vous en réutilisez une grande partie des contrôles.
Chaque nouvelle personne apporte des accès, des appareils et des outils. Sans règles pour l’arrivée et le départ, on perd vite la vue d’ensemble.
Les banques, les assureurs et les entreprises soumises à NIS2 doivent évaluer leurs prestataires. Même une petite société de logiciels reçoit ces exigences par le contrat.
À partir de 50 salariés ou de plus de 10 millions d’euros de chiffre d’affaires et de total de bilan, NIS2 peut s’appliquer directement, par exemple aux fournisseurs de cloud ou aux fournisseurs de services managés. Si vous grandissez vite, gardez-le à l’esprit.
Frameworks pertinents
Résumé avec nos propres mots, sans valeur de conseil juridique. Seul le texte original dans sa version en vigueur fait foi.
La preuve habituelle sur le marché européen. Un périmètre petit et bien délimité, par exemple un produit et son environnement, rend le démarrage gérable. Le certificat d’un organisme accrédité est valable trois ans, avec des audits de surveillance annuels.
Voir le framework →Demandé dès que des clients aux États-Unis arrivent. Le Type I décrit la conception des contrôles à une date donnée, le Type II leur efficacité sur une période. Le rapport est établi par un cabinet CPA.
Voir le framework →S’applique dès le premier client avec des données à caractère personnel. Qui traite des données pour le compte de ses clients a besoin de contrats selon l’art. 28 du RGPD, d’une liste des sous-traitants ultérieurs et de mesures techniques et organisationnelles décrites.
Voir le framework →Pour les jeunes entreprises, ce n’est généralement pas encore un sujet direct, car les seuils de taille ne sont pas atteints. Pour certains services, la BSIG s’applique toutefois quelle que soit la taille. Si les exigences arrivent par les clients, un SMSI selon ISO 27001 suffit souvent comme réponse.
Voir le framework →Pour les entreprises dont le produit repose sur l’IA. Clients et investisseurs demandent comment les modèles sont choisis, les données utilisées et les risques évalués. ISO 42001 a la même structure qu’ISO 27001.
Voir le framework →Ordre recommandé
Quels clients voulez-vous gagner, et quelle preuve exigent-ils ? Le plus souvent ISO 27001, pour les clients américains SOC 2. La protection des données est nécessaire dans tous les cas.
Un produit, ses environnements et les personnes qui y travaillent. Un périmètre étroit et bien justifié s’élargit facilement plus tard.
Beaucoup de choses fonctionnent déjà : revues de code, sauvegardes, authentification multifacteur. Il faut une courte politique et un justificatif daté. Ce qui manque devient une tâche.
Revues des accès, arrivées, départs et changements nécessitent des justificatifs réguliers. Qui ne collecte que juste avant l’audit aura des trous.
Le certificat ISO est délivré par un organisme de certification accrédité. Ensuite, vous montrez certificat, mesures et sous-traitants dans le Trust Center, au lieu de répondre à chaque questionnaire depuis le début.
Priorité
Un SMSI pour dix personnes ne ressemble pas à celui pour deux cents. Ces points vous évitent de le construire deux fois.
Un produit et un site sont un bon début. Quand s’ajoutent des produits, des sites ou des sociétés, vous élargissez le périmètre au lieu de recommencer.
SOC 2, NIS2 ou ISO 42001 utilisent les preuves que vous tenez déjà pour ISO 27001. Seul ce que le nouveau framework exige en plus est nouveau.
Les investisseurs posent des questions sur les politiques, les risques, les incidents et les fournisseurs. Avec un SMSI tenu à jour, vous rassemblez les documents sans heures supplémentaires.
Les développeuses et développeurs travaillent en tant que Contributor uniquement sur leurs tâches et y téléversent les justificatifs. Il n’existe pas de connexion aux outils de développement.
Comment Sightadel vous aide
ISO 27001 et SOC 2 sont traités contrôle par contrôle, avec explication et options de réponse. Là où les exigences se recoupent, une preuve est rattachée aux deux frameworks.
En savoir plus →Les politiques partent d’un modèle plutôt que d’un document vide. L’IA aide à formuler à partir de vos informations, les décisions de la direction restent signalées.
En savoir plus →Les preuves portent une date, une version et une date d’expiration. Les contrôles récurrents tournent en cycle, Sightadel envoie un rappel avant l’échéance.
En savoir plus →Une page dédiée avec certificats, documents approuvés, mesures de sécurité et sous-traitants. Les ventes y renvoient au lieu de répondre à chaque questionnaire séparément.
En savoir plus →Plateforme cloud, envoi d’e-mails, supervision et outils de support figurent dans une liste avec risque et preuves. La liste des sous-traitants du Trust Center s’en alimente.
En savoir plus →Sightadel vérifie la surface d’attaque de vos domaines visible de l’extérieur. C’est exactement ce point de vue que les clients utilisent pour vous évaluer.
En savoir plus →Effort et durée
Ces fourchettes sont des valeurs d’expérience, pas un engagement. Les facteurs les plus déterminants sont la taille du périmètre, le nombre de services utilisés et le temps que l’équipe peut y consacrer en plus du travail sur le produit.
Ce que vous souscrivez · généralement Basic
Une jeune entreprise avec un produit démarre généralement avec ISO 27001 et le RGPD dans l’édition Basic. Elle comprend cinq utilisateurs et dix fournisseurs. Licence pour ISO 27001 : à partir de 750 € par mois. Comme ISO 27001 fait partie de la licence, le RGPD et plus tard SOC 2 coûtent durablement moins. Quand l’équipe ou le nombre de services grandit, vous passez à Professional.
Licence par framework, durée minimale d’un an, paiement mensuel ou annuel. Tous les prix, remises et un simulateur se trouvent sur la page des tarifs. Les honoraires d’un organisme de certification ou d’audit s’ajoutent séparément.
Questions et réponses
Plus de réponses dans la FAQ ou directement via notre formulaire de contact.
La norme ne fixe pas de taille minimale. Pour une petite équipe, le SMSI est plus léger : moins de systèmes, moins de rôles, des politiques plus courtes. L’essentiel est de satisfaire et de justifier les exigences pour votre périmètre.
Par la preuve que vos principaux clients exigent. En Europe, c’est généralement ISO 27001, aux États-Unis SOC 2. Si vous visez les deux marchés, vous commencez souvent par ISO 27001 et réutilisez ensuite les preuves pour SOC 2.
Avant qu’un client ne fixe une date. Même pour une petite équipe, il faut quelques mois pour être prêt pour l’audit. Qui commence plus tôt ne négocie pas sous la pression du temps.
Tant que vous n’atteignez pas les seuils de taille, généralement pas directement. Il existe des exceptions pour certains services couverts quelle que soit la taille. Les exigences vous parviennent toutefois par les clients qui sont eux-mêmes concernés. L’appréciation de votre cas se clarifie avec votre conseil.
Souvent les politiques, les règles d’accès, les incidents des dernières années, la protection des données, les sous-traitants et les certificats existants. Avec un SMSI tenu à jour, ces documents sont au même endroit.
Vous élargissez le périmètre, les utilisateurs et les fournisseurs et passez si besoin à une édition supérieure. Les preuves et les tâches existantes sont conservées.
14 jours, accès complet, sans données de paiement. Tout ce que vous créez est conservé dans l’offre payante.
