Préparer un audit SOC 2 ou ISO 27001 avec son logiciel MDM

SOC 2 et ISO 27001 demandent de prouver que les appareils qui accèdent aux données de l’entreprise sont maîtrisés. Sans logiciel MDM, ces preuves se font à la main, poste par poste. Avec, elles se lisent dans un tableau de bord.

Ce que l’auditeur regarde sur les appareils

• L’inventaire : la liste des appareils, leurs utilisateurs, leur système à jour ou non.
• Le chiffrement du disque (FileVault, BitLocker) sur chaque ordinateur portable.
• Le verrouillage de session et la politique de mot de passe.
• Les mises à jour de sécurité appliquées dans un délai défini.
• L’antivirus ou l’EDR installé et actif.
• La sortie des salariés : accès révoqués et appareil récupéré ou effacé.

Un logiciel MDM applique ces règles et en garde la trace. Certains s’intègrent aux outils de conformité comme Vanta ou Drata, qui collectent les preuves automatiquement.

Deux choses à ne pas confondre

Beaucoup d’éditeurs écrivent que leur outil « aide à être conforme SOC 2 » : c’est vrai de presque tout MDM. Ce n’est pas la même chose qu’un éditeur lui-même certifié, qui fait auditer sa propre sécurité. Le classement ne retient que le second : 38 éditeurs déclarent une certification SOC 2 Type II et 36 l’ISO 27001.

Les logiciels dont l’éditeur est certifié SOC 2 Type II

1. Primo 82,5/100 · 1er
2. JumpCloud 80,1/100 · 2e
3. Scalefusion 76,5/100 · 3e
4. Electric 75,3/100 · 4e
5. Hexnode 74,7/100 · 5e
6. Rippling IT 74,1/100 · 6e
7. Iru (ex-Kandji) 72/100 · 7e
8. Microsoft Intune 71,4/100 · 8e
9. Deel IT 70,8/100 · 9e
10. Omnissa Workspace ONE 70,1/100 · 10e

Les logiciels dont l’éditeur est certifié ISO 27001

1. JumpCloud 80,1/100 · 2e
2. Scalefusion 76,5/100 · 3e
3. Hexnode 74,7/100 · 5e
4. Rippling IT 74,1/100 · 6e
5. Iru (ex-Kandji) 72/100 · 7e
6. Microsoft Intune 71,4/100 · 8e
7. Deel IT 70,8/100 · 9e
8. Omnissa Workspace ONE 70,1/100 · 10e
9. Matrix42 69,4/100 · 11e
10. ManageEngine 69,1/100 · 12e

Avant l’audit

1. Vérifier que 100 % des appareils sont inscrits dans le MDM, y compris les postes personnels utilisés pour le travail.
2. Exporter les rapports de chiffrement et de version du système.
3. Documenter la procédure de départ et en garder une trace par salarié.
4. Demander à l’éditeur du MDM son rapport SOC 2 ou son certificat ISO 27001 : l’auditeur évaluera aussi vos fournisseurs.