Sécurité de l'information
SOC 2
SOC 2 (System and Organization Controls 2)
SOC 2 est un audit indépendant de la manière dont vous protégez les données de vos clients au regard des Trust Services Criteria. Nous vous accompagnons du premier écart jusqu'à un rapport Type I ou Type II sans réserve.
Ce qu'est SOC 2
SOC 2 est un rapport d'attestation produit par un cabinet indépendant de CPA (experts-comptables agréés) qui décrit la manière dont votre organisation gère les données clients au regard de cinq Trust Services Criteria : sécurité, disponibilité, intégrité du traitement, confidentialité et respect de la vie privée. La sécurité fait toujours partie du périmètre ; les autres sont incluses lorsqu'elles comptent pour votre service.
Un rapport Type I évalue si vos contrôles sont correctement conçus à un instant donné. Un rapport Type II teste s'ils ont réellement fonctionné de manière efficace sur une période, généralement de trois à douze mois, et c'est celui qu'attendent la plupart des acheteurs grands comptes.
La structure de la norme
Critère · Sécurité
Les critères communs inclus dans toute mission SOC 2, qui couvrent la manière dont les systèmes et les données sont protégés contre les accès non autorisés.
Critère · Disponibilité
Critères optionnels portant sur le fait que le système est disponible pour l'exploitation et l'utilisation comme engagé ou convenu.
Critère · Intégrité du traitement
Critères optionnels portant sur le fait que le traitement du système est complet, valide, exact, réalisé en temps voulu et autorisé.
Critère · Confidentialité
Critères optionnels portant sur la manière dont les informations désignées comme confidentielles sont protégées tout au long de leur cycle de vie.
Critère · Vie privée
Critères optionnels portant sur la manière dont les informations personnelles sont collectées, utilisées, conservées, divulguées et supprimées.
Rapport · Type I
Une évaluation du fait que les contrôles sont correctement conçus à une date unique précisée.
Rapport · Type II
Une évaluation du fait que ces contrôles ont également fonctionné de manière efficace sur une période d'examen définie.
Qui en a besoin
- Les entreprises SaaS et éditeurs de logiciels B2B dont les clients stockent des données chez elles
- Toute personne à qui l'on demande un rapport SOC 2 dans un questionnaire de sécurité ou lors d'une négociation
- Les équipes qui vendent à des grands comptes américains, où SOC 2 est l'attente par défaut
Ce que vous obtenez
- Une analyse des écarts et une feuille de route priorisée
- Des politiques, des contrôles et un ensemble de preuves rattachés aux critères
- Des preuves issues du test d'intrusion et de la revue de sécurité
- La préparation à l'audit et un accompagnement jusqu'à un rapport Type I ou Type II sans réserve
Les délais dépendent de votre point de départ et du fait qu'il s'agisse d'un Type I ou d'un Type II. Nous en définissons honnêtement le périmètre en amont plutôt que de promettre un nombre de semaines fixe.
Version actuelle
Les rapports SOC 2 sont préparés au regard des AICPA Trust Services Criteria, l'édition de 2017 dont les points of focus ont été révisés en 2022, lus conjointement avec les normes d'attestation de la SSAE 18. Les critères eux-mêmes sont stables, de sorte que le cadre actuel est celui sur lequel toute nouvelle mission travaille aujourd'hui. Le changement concret au fil du temps concerne les attentes des auditeurs et les preuves ; l'approche sensée consiste donc à confirmer les critères actuels et le cadrage de votre auditeur avant les travaux sur site, plutôt que de supposer que le jeu de l'an dernier reste inchangé.
Ce que cela coûte
Deux coûts coexistent ici. tr3labs facture des honoraires de conseil et de mise en œuvre cadrés, chiffrés en amont une fois que nous comprenons votre taille, vos systèmes et le degré d'avancement de vos contrôles. Séparément, le cabinet indépendant de CPA agréés qui réalise l'examen et émet le rapport facture selon son propre barème, car tr3labs n'est jamais l'auditeur et n'émet jamais l'attestation. Nous préférons cadrer le travail avec vous plutôt que de chiffrer à l'aveugle.
Comment tr3labs vous y amène
Périmètre et analyse des écarts
Nous convenons des Trust Services Criteria applicables, confrontons vos contrôles actuels à ceux-ci et vous remettons une feuille de route priorisée pour combler les écarts.
Construire les contrôles
Nous vous aidons à mettre en œuvre les politiques, les processus et les contrôles techniques attendus par les critères, et nous rassemblons les preuves que votre auditeur voudra voir.
Tester et démontrer
Nos tests d'intrusion et nos revues fournissent les preuves de sécurité qui sous-tendent les contrôles, et nous répétons l'audit à blanc pour qu'il n'y ait aucune surprise.
Accompagnement à l'audit
Nous travaillons aux côtés de votre auditeur CPA tout au long des travaux sur site jusqu'à un rapport sans réserve, et vous maintenons prêt pour la période suivante.
SOC 2 comparé à ISO 27001
Tous deux prouvent à une partie externe que vous gérez la sécurité de l'information, ce qui explique que les acheteurs les considèrent souvent comme interchangeables.
| SOC 2 | ISO 27001 | |
|---|---|---|
| Couvre | Des contrôles au regard des Trust Services Criteria | Un système de management de la sécurité de l'information piloté |
| Qui le demande | Surtout les acheteurs grands comptes et les achats américains | Des clients et des régulateurs internationaux |
| Idée centrale | Un rapport d'attestation sur vos contrôles | Un système de management certifiable que vous exploitez et améliorez |
| Modèle d'audit | Un examen par un cabinet indépendant de CPA | Un audit en deux étapes par un organisme de certification accrédité |
| Résultat | Un rapport Type I ou Type II, pas un certificat | Un certificat assorti d'audits de surveillance |
| Souvent détenu avec | ISO 27001, lorsque les acheteurs couvrent les deux régions | SOC 2, pour satisfaire les acheteurs américains comme mondiaux |
FAQ SOC 2
- Quelle est la différence entre SOC 2 Type I et Type II ?
- Le Type I évalue si vos contrôles sont correctement conçus à un instant unique. Le Type II teste s'ils ont fonctionné de manière efficace sur une période d'examen, généralement de trois à douze mois, et c'est ce que demandent la plupart des acheteurs grands comptes.
- Avons-nous besoin d'un test d'intrusion pour SOC 2 ?
- SOC 2 n'impose pas de test particulier, mais les auditeurs et les clients attendent des preuves réelles que vos contrôles de sécurité fonctionnent. Nos tests d'intrusion manuels fournissent exactement cela et alimentent directement le rapport.
- Qui émet le rapport SOC 2 ?
- C'est un cabinet indépendant de CPA agréés qui émet le rapport. tr3labs vous prépare à l'audit, construit les contrôles et les preuves, et vous accompagne tout au long ; nous n'émettons pas l'attestation nous-mêmes.
Les services qui vous y amènent
Normes associées
À lire aussi
SOC 2 ou ISO 27001 : une comparaison honnête pour vous aider à choisir
Un guide en langage clair sur les véritables différences entre SOC 2 et ISO 27001 : ce qu'est chacun, qui réclame lequel, comment se déroulent les audits, ce que vous détenez au bout du compte, et s'il vous faut les deux.
8 min de lecture
Qu'est-ce que la conformité SOC 2 ? Un guide en langage clair
Le SOC 2 expliqué sans le jargon : ce que c'est, les cinq Trust Services Criteria, Type I vs Type II, qui en a besoin, à quoi ressemble le processus et comment s'y préparer.
7 min de lecture
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture