Après l’ISO 27001, nous prévoyons un examen SOC 2 Type II. Ce qu’est un rapport SOC 2, la différence entre Type I et Type II, son articulation avec l’ISO 27001 et le RGPD, et quoi demander en attendant.
Si vous achetez des logiciels en Amérique du Nord, tôt ou tard quelqu’un aux achats demande un rapport SOC 2. En Europe, la question porte plus souvent sur l’ISO 27001 et le RGPD. Beaucoup d’équipes demandent les deux. Qalion sert des équipes des deux côtés de l’Atlantique : les deux figurent donc sur notre feuille de route, l’ISO 27001 d’abord, puis le SOC 2 Type II.
Ce qu’est le SOC 2
Le SOC 2 est un référentiel d’attestation de l’American Institute of Certified Public Accountants (AICPA). Un cabinet d’audit indépendant examine les contrôles d’un prestataire au regard des Trust Services Criteria et émet un rapport qui décrit le système, les contrôles et l’opinion de l’auditeur.
Contrairement à l’ISO 27001, ce n’est pas un certificat. C’est un rapport détaillé, généralement partagé avec les clients sous accord de confidentialité, que votre équipe sécurité peut lire ligne par ligne.
Les Trust Services Criteria
Tout rapport SOC 2 couvre la sécurité. Les quatre autres critères s’ajoutent lorsqu’ils comptent pour le service, et le périmètre final se décide avec l’auditeur.
- Sécurité : les systèmes et les données sont protégés contre les accès non autorisés.
- Disponibilité : le système est accessible et utilisable comme convenu.
- Intégrité du traitement : le traitement est complet, exact et effectué en temps voulu.
- Confidentialité : les informations désignées comme confidentielles restent protégées.
- Vie privée : les données personnelles sont collectées, utilisées, conservées et supprimées comme convenu.
Type I et Type II
Un rapport de Type I examine la conception des contrôles à un instant donné. Un rapport de Type II va plus loin : l’auditeur vérifie que ces contrôles ont réellement fonctionné sur une période d’observation, généralement de trois à douze mois.
Nous visons le Type II, parce qu’il répond à la vraie question : les contrôles tiennent-ils un mardi ordinaire, et pas seulement le jour de l’audit ?
Son articulation avec l’ISO 27001 et le RGPD
Les deux référentiels se recoupent largement. Contrôle d’accès, chiffrement, gestion des changements, réponse aux incidents et gestion des fournisseurs figurent dans les deux : le système de management que nous construisons pour l’ISO 27001 devient la base qu’examine l’auditeur SOC 2.
Aucun des deux ne remplace le RGPD. Dès que des données personnelles de l’UE sont en jeu, c’est le RGPD qui décide de ce qui peut être traité, où et à quelles conditions. Nos engagements ne changent pas : traitement dans la région de votre choix, aucun transfert hors de celle-ci, et un accord de sous-traitance sur demande.
En attendant le rapport
Nous ne revendiquerons aucune conformité SOC 2 avant qu’un auditeur indépendant ait émis son rapport. Lorsqu’il sera disponible, nous l’annoncerons ici et le partagerons avec nos clients et prospects sous accord de confidentialité.
D’ici là, nous répondons volontiers à votre questionnaire de sécurité, présentons notre architecture et nos contrôles, et vous montrons comment les données de test sont isolées par organisation.