SOC 2
Un rapport d'audit indépendant sur la façon dont un fournisseur de services protège les données de ses clients, fondé sur les critères de l'American Institute of CPAs (AICPA).
En bref
- Un rapport de type I décrit les contrôles à une date donnée ; un rapport de type II vérifie leur fonctionnement sur une période.
- La sécurité est toujours couverte. La disponibilité, l'intégrité du traitement, la confidentialité et la vie privée sont facultatives.
- C'est un rapport à lire, pas un certificat : la section des exceptions compte.
SOC 2, pour System and Organization Controls 2, est un rapport d'attestation délivré par un cabinet comptable indépendant. Il évalue les contrôles d'une organisation de services selon les Trust Services Criteria de l'AICPA. Les éditeurs de logiciels et les fournisseurs infonuagiques s'en servent pour montrer à leurs clients comment ils protègent les données.
Les critères
- Sécurité : la protection contre les accès non autorisés. Toujours incluse.
- Disponibilité : les systèmes sont disponibles comme promis.
- Intégrité du traitement : le traitement est complet, exact et autorisé.
- Confidentialité : l'information confidentielle est protégée.
- Vie privée : les renseignements personnels sont traités conformément aux engagements.
Type I et type II
Un rapport de type I évalue si les contrôles sont conçus adéquatement à une date précise. Un rapport de type II vérifie aussi s'ils ont fonctionné efficacement sur une période, généralement de six à douze mois. C'est le type II que demandent la plupart des clients, parce qu'il montre que les contrôles ont réellement fonctionné, pas seulement qu'ils existent sur papier.
Lire un rapport SOC 2
Le rapport comprend l'opinion de l'auditeur, une description du système, les contrôles testés et les résultats. Les sections les plus utiles : le périmètre, pour confirmer qu'il couvre le service que vous utilisez ; les exceptions, là où un contrôle a échoué à un test ; et les contrôles complémentaires des entités utilisatrices, qui listent ce que vous, comme client, devez faire de votre côté.
Exemple chiffré
L'évaluation d'un fournisseur
Un contrôleur qui évalue un nouveau fournisseur d'automatisation des comptes fournisseurs reçoit son rapport SOC 2 de type II couvrant janvier à décembre. L'opinion est sans réserve, la sécurité et la disponibilité sont couvertes, et il y a une exception : deux employés partis ont gardé leurs accès plus que les 24 heures prévues par la politique. La réponse du fournisseur montre que le processus a été corrigé. Le contrôleur note les contrôles utilisateurs, comme revoir ses propres utilisateurs chaque trimestre, et approuve le fournisseur.