Conformité SOC 2
La norme SOC 2 est devenue le gage de confiance de facto pour les entreprises de SaaS et de services, ce qui signifie que de nombreuses organisations la recherchent parce que l’équipe des achats d’un client l’a exigée, et non parce qu’elles ont entrepris de mettre en place un environnement véritablement bien contrôlé. C’est une motivation acceptable pour commencer — mais l’audit ne se déroule bien que si les contrôles sont bel et bien en place au moment où l’auditeur commence ses tests, et non s’ils ont été mis en place à la hâte la semaine précédant le début de la période d’audit.
Type I contre Type II, et pourquoi cela importe
Un rapport de type I vérifie si les contrôles sont conçus de manière appropriée à un moment donné. Un rapport de type II vérifie si ces contrôles ont effectivement fonctionné de manière efficace sur une période donnée, généralement de plusieurs mois à un an, ce qui signifie qu’il est impossible de tricher en mettant à jour une politique à la dernière minute — l’auditeur souhaite disposer de preuves couvrant l’ensemble de la période : les journaux de contrôle d’accès du deuxième mois, et pas seulement ceux du onzième ; les tickets de gestion des changements sur l’ensemble de la période, et non un ensemble « propre » datant des dernières semaines. La plupart des clients qui demandent une certification «SOC 2» souhaitent en réalité un rapport de type II ; je prévois donc cela dès le départ plutôt que de considérer le rapport de type I comme un raccourci.
Comment je prépare une organisation
Je commence par déterminer quels critères des services de confiance s’appliquent réellement — la sécurité est obligatoire, mais la disponibilité, la confidentialité, l’intégrité du traitement et la protection de la vie privée dépendent de vos activités concrètes et des attentes de vos clients. À partir de là, je réalise une évaluation de l’état de préparation au regard des critères pertinents, en examinant en toute honnêteté les contrôles qui fonctionnent réellement par opposition à ceux qui n’existent que sur le papier mais ne sont pas systématiquement respectés — des contrôles d’accès effectués de manière sporadique, une gestion des changements négligée sous la pression des délais, une gestion des risques liés aux fournisseurs qui relève davantage de l’aspiration que de la pratique. Nous comblons ces lacunes et, surtout, nous veillons à ce que les preuves soient effectivement générées et conservées au fur et à mesure, car la conformité de type II se joue sur les preuves collectées tout au long de la période, et non sur celles reconstituées a posteriori.
Une fois l’environnement de contrôle solidement établi, je vous aide à collaborer efficacement avec votre auditeur : des preuves bien organisées, des réponses cohérentes lors des entretiens et aucune surprise, car les lacunes ont déjà été comblées avant le début des tests.
À qui s'adresse ce document ?
Les entreprises SaaS et de services qui ont besoin de la certification «SOC 2» pour conclure des contrats avec des grandes entreprises, les organisations qui ont obtenu une attestation de type I et doivent désormais maintenir leurs contrôles pendant la période de type II, ainsi que les équipes qui souhaitent que leur prochain audit vienne confirmer ce qui est déjà vrai, et non pas se transformer en exercice d’urgence.
Si un audit « SOC 2 » figure dans votre feuille de route, contactez-nous afin que nous mettions en place les contrôles nécessaires avant l’arrivée de l’auditeur.