Qu'est-ce que ce certificat ?

SOC 2 est un rapport d'assurance indépendant évaluant les contrôles d'une organisation de services par rapport aux critères des services de confiance : sécurité, disponibilité, intégrité du traitement, confidentialité et confidentialité. Sa différence avec SOC 1 réside dans son orientation : SOC 1 traite de l'information financière, SOC 2 traite de la sécurité des informations et de la fiabilité des services. Il s'agit encore une fois d'un rapport d'audit et non d'un certificat.

À qui s'adresse-t-il ?

Fournisseurs de services SaaS et cloud
Fournisseurs de services de centres de données et d’infrastructures
Entreprises technologiques couvertes par l'évaluation de sécurité d'un client d'entreprise
Entreprises de logiciels vendant des services sur le marché nord-américain

Est-il obligatoire ?

Pas obligatoire ; il est obtenu à la demande d'un client entreprise. Sur le marché nord-américain, un rapport SOC 2 Type II est devenu presque une exigence standard dans le processus de vente ; en Europe, un certificat ISO/IEC 27001 est plus couramment demandé.

Domaine d'application de la norme

Sécurité — le critère commun obligatoire dans chaque rapport SOC 2
Disponibilité — facultatif
Intégrité du traitement — facultatif
Confidentialité — facultative
Confidentialité — facultatif
Critères communs basés sur le cadre COSO (la série CC) : environnement de contrôle, communication, évaluation des risques, surveillance, activités de contrôle, accès logique et physique, opérations du système, gestion du changement, atténuation des risques.
La description du système et les limites de la portée
La distinction Type I / Type II
Traitement des organisations de sous-services
Contrôles complémentaires des entités utilisatrices

Processus de certification

1Détermination de la portée et du programmeLes sites et les processus à auditer, ainsi que la durée de l'audit requise par le programme, sont déterminés.
2Pré-évaluationUne analyse des écarts est éventuellement effectuée ; les lacunes deviennent visibles avant l’audit principal.
3Audit sur siteL'examen des dossiers, l'observation du site et les entretiens avec les travailleurs sont effectués par rapport à la liste de contrôle du programme.
4Restitution des constatsLes résultats sont rapportés selon la classification du programme. Le résultat de ces programmes est un rapport d’audit et non un certificat.
5Actions correctives et suiviUn plan d'actions correctives est soumis aux constats ; il est clôturé par un audit de suivi dans le cadre du programme.

Durée de validité

La durée de validité des rapports d'audit est fixée par le régime et se situe généralement entre un et deux ans. Le rapport est utilisé pour la période acceptée par la marque acheteuse.

Documents requis

Détails de l'organisation et du site
Effectif et répartition des équipes
Permis et licences légaux
Politiques et procédures pertinentes
Registres de paie, de temps et du personnel

Coût de la certification

Il n'y a pas de tarif catalogue fixe; le coût est calculé selon les variables suivantes et fourni par écrit dans le devis.

Le nombre de sites à auditer et l'effectif
La durée d’audit prescrite par le programme
Si une pré-évaluation (analyse des lacunes) est demandée
Si un audit de suivi est requis

Accréditation

La plupart de ces systèmes produisent des rapports d'audit, et non des documents, et sont soumis au propre système d'approbation du propriétaire du système (par exemple Sedex, amfori, RBA) ; L'accréditation au sens classique du terme n'est pas présente dans tous les systèmes. La compétence de l'auditeur et la validité du rapport sont déterminées par les règles du propriétaire du système.

Le périmètre dans lequel ce schéma peut être proposé varie selon votre produit et votre activité; il est confirmé par écrit au stade du devis.

Portée et autorisations

Certifications associées

Questions fréquentes

Dois-je choisir SOC 2 ou ISO/IEC 27001 ?

Cela dépend de votre marché. Les clients nord-américains demandent principalement le SOC 2 Type II, tandis que les clients européens et asiatiques demandent la norme ISO/IEC 27001. Étant donné que leurs ensembles de contrôle se chevauchent considérablement, la mise en place de l'un réduit considérablement la charge de travail de l'autre ; de nombreuses entreprises gèrent les deux ensemble.

Quelle est la durée de validité d'un rapport SOC 2 ?

Le rapport couvre une période d'audit spécifique. Les clients attendent généralement un rapport à jour couvrant les 12 derniers mois, donc en pratique il est renouvelé chaque année. S'il reste un intervalle entre les périodes, les clients peuvent demander une lettre de transition pour l'intérim.

Dois-je inclure les cinq critères dans le champ d’application ?

Non. Le critère de sécurité est obligatoire ; les autres sont sélectionnés en fonction de la nature de votre prestation et des attentes des clients. L'ajout de critères inutiles augmente la portée et le coût de l'audit.

Contrôles de confiance des organismes de services (SOC 2)