Les cinq critères
SOC 2 est organisé autour des critères des services de confiance : sécurité, requise dans chaque rapport, disponibilité, intégrité du traitement, confidentialité et vie privée. Un questionnaire structuré comme SOC 2 suit les mêmes cinq rubriques. La sécurité interroge tout l’environnement de contrôle : gouvernance, risques, accès, changements, surveillance, réponse aux incidents. La disponibilité interroge la capacité, les sauvegardes, la continuité et les objectifs de reprise. L’intégrité du traitement demande si le système fait ce qu’il annonce, de manière complète et exacte. La confidentialité demande comment les informations confidentielles sont identifiées et protégées. La vie privée porte sur les données personnelles : information, choix, conservation, suppression.
Si vous avez un rapport
Envoyez-le sous NDA, avec une lettre de transition si la période du rapport s’est terminée il y a plus de quelques mois. Préparez-vous à répondre aux questions sur les exceptions relevées par l’auditeur, les contrôles complémentaires de l’entité utilisatrice, c’est-à-dire ce que le rapport suppose que le client met en place, et les organisations de sous-services exclues du périmètre du rapport, généralement votre hébergeur. Un questionnaire qui arrive avec une demande de rapport est généralement court : répondez aux lignes que le rapport ne couvre pas et renvoyez à la section du rapport pour le reste.
Si ce n’est pas le cas
Répondez par critère. Pour la sécurité, les réponses sont celles que chaque questionnaire demande : contrôle des accès, gestion des changements, gestion des vulnérabilités, journalisation, réponse aux incidents, avec responsables, fréquences et preuves. Pour la disponibilité, indiquez vos objectifs de reprise, le calendrier des sauvegardes et la date du dernier test de restauration. Pour la confidentialité, le système de classification et le chiffrement en place. Pour la protection de la vie privée, le DPA, la liste des sous-traitants ultérieurs et les règles de conservation. Un fournisseur sans rapport, mais avec des réponses et des preuves précises, est accepté par la plupart des clients ; le rapport devient rentable quand le même questionnaire arrive chaque semaine.
Les réponses qui recoupent ISO 27001
La plus grande partie du critère de sécurité recoupe l’annexe A d’ISO 27001. Si vous gardez une réponse approuvée par contrôle, les mêmes réponses servent pour un questionnaire SOC 2 et pour un questionnaire ISO ; seuls les intitulés changent. Responsemate rédige un questionnaire sous l’une ou l’autre forme à partir de la même bibliothèque et montre sur chaque ligne l’entrée utilisée. Les questionnaires dans Responsemate.
Questions fréquentes
Quelle est la différence entre SOC 2 Type I et Type II ?
Un rapport Type I décrit vos contrôles et indique s’ils étaient conçus de manière appropriée à un instant donné. Un rapport Type II vérifie s’ils ont fonctionné sur une période, généralement de six à douze mois. Les clients qui demandent « votre SOC 2 » veulent presque toujours dire Type II.
Une entreprise européenne peut-elle obtenir un rapport SOC 2 ?
Oui, auprès de tout cabinet d’audit autorisé à les émettre. Beaucoup d’entreprises européennes choisissent plutôt ISO 27001 ou un rapport ISAE 3000 parce que leurs clients les demandent ; certaines détiennent les deux lorsqu’elles vendent aux États-Unis.
Un rapport SOC 2 suffit-il pour éviter le questionnaire ?
Souvent, cela le raccourcit. Les clients qui disposent d’un processus mature lisent le rapport, notent les exceptions et envoient un court questionnaire sur ce que le rapport ne couvre pas : votre service spécifique, les flux de données et tout élément depuis la période couverte par le rapport.