SOC 2

SOC 2 est un rapport indépendant d'un auditeur sur la manière dont un prestataire de services protège les données et les systèmes qu'il exploite pour ses clients. Le cadre vient de l'American Institute of Certified Public Accountants (AICPA), et le rapport lui-même est rédigé par un cabinet CPA agréé. SOC signifie System and Organization Controls : malgré une abréviation proche, il n'a aucun rapport avec un centre d'opérations de sécurité.

L'étalon est constitué des Trust Services Criteria (critères des services de confiance) : sécurité, disponibilité, intégrité du traitement, confidentialité et vie privée. La sécurité est toujours incluse, et l'organisation choisit parmi les quatre autres ceux qui correspondent au service qu'elle vend. L'auditeur examine ensuite la description du système établie par la direction et les contrôles qui soutiennent les critères, puis exprime une opinion.

SOC 2 n'est ni une loi ni un certificat. Personne n'est obligé de l'avoir, et l'auditeur ne délivre pas de note de réussite : le rapport indique si les contrôles ont satisfait aux critères et énumère les exceptions relevées. Les acheteurs le demandent parce qu'il offre un regard extérieur sur la sécurité des données d'un fournisseur, ce qu'un questionnaire ne peut pas faire.

Un rapport SOC 2 est l'aboutissement d'un processus, pas le processus lui-même. L'audit est bref comparé à la préparation, et l'essentiel du travail se fait avant l'arrivée de l'auditeur :

1. 1

   Définir le périmètre et les critères

   Décider quels services, systèmes et sites sont couverts et quelles catégories s'ajoutent à Security.

2. 2

   Mesurer l'état de préparation

   Comparer les contrôles actuels aux critères et lister les écarts avant que l'auditeur ne les trouve.

3. 3

   Appliquer et consigner

   Combler les écarts, puis faire fonctionner les contrôles au quotidien et conserver les preuves : tickets, journaux, revues d'accès, validations.

4. 4

   Passer l'audit

   Un cabinet CPA indépendant examine la description du système et teste les contrôles au regard des critères.

5. 5

   Recevoir et partager le rapport

   Le rapport porte l'opinion de l'auditeur, est généralement transmis aux clients sous NDA et se renouvelle selon un cycle régulier, souvent chaque année.

La sécurité est obligatoire et forme les critères communs : accès, gestion des changements, évaluation des risques, surveillance et réponse aux incidents. Les quatre autres ne sont ajoutés que si le service prend des engagements à leur sujet :

SOC 2 demande à une organisation de montrer qui peut accéder aux données des clients, comment cet accès est protégé et comment les changements apportés aux systèmes sont consignés. Anexet n'est pas un outil d'audit, mais sa console conserve plusieurs de ces traces : les privilèges sont attribués par groupe d'utilisateurs, l'enregistrement des paramètres de l'Administrator Console peut exiger un mot de passe supplémentaire, et les sessions se terminent automatiquement après un délai défini, et le Journal enregistre les actions des administrateurs. Les événements peuvent aussi être transmis à un SIEM pour une surveillance centralisée.

1 / 3

• 
• 
• 

Un rapport Type I décrit les contrôles et donne l'opinion de l'auditeur sur leur conception adéquate à un instant donné. Un rapport Type II couvre une période, généralement de quelques mois à un an, et ajoute les tests de l'auditeur pour savoir si les contrôles ont réellement fonctionné de manière efficace tout au long de celle-ci.

Pour un acheteur, le Type II pèse davantage : un contrôle qui existe n'est pas un contrôle qui a fonctionné chaque semaine. Beaucoup de prestataires commencent par le Type I pour avoir quelque chose à montrer, puis passent au Type II. Les clients demandent aussi une bridge letter, une courte déclaration de la direction sur la période écoulée entre la fin de la période et aujourd'hui. C'est une déclaration du prestataire lui-même, pas un audit.

SOC 1 porte sur les contrôles qui comptent pour l'information financière d'un client, SOC 2 sur les critères des services de confiance, et SOC 3 est une courte synthèse à usage général du même type de mission que SOC 2, sans les tests détaillés, ce qui permet de la publier.

L'ISO/IEC 27001 est l'autre document que réclament les acheteurs. C'est la certification d'un système de management de la sécurité de l'information (SMSI) par un organisme accrédité, alors que SOC 2 est un rapport d'attestation sur des contrôles que l'organisation décrit elle-même. L'un ne remplace pas l'autre, mais un même socle de preuves entretenu par la gestion de la conformité peut servir aux deux.

La plupart des difficultés viennent du fait de traiter SOC 2 comme un badge plutôt que comme une manière de travailler. Les clients attentifs lisent le périmètre, la période et les exceptions avant l'opinion, car les failles d'un fournisseur deviennent aussi leur propre risque de conformité. Les schémas se répètent :

• Dire d'une entreprise qu'elle est « certifiée SOC 2 » alors qu'il n'y a pas de certificat, seulement un rapport
• Définir un périmètre si étroit que le rapport laisse de côté le produit que le client utilise réellement
• Tenter de reconstituer les preuves après la fin de la période, alors qu'un test Type II couvre toute la période
• Ne lire que l'opinion et ignorer les exceptions et les contrôles que le client doit lui-même appliquer
• Croire que le critère de vie privée prouve la conformité à une loi sur la protection des données comme le RGPD

Partez de ce que les clients demandent réellement, pas des critères. Prenez pour périmètre le service qu'ils achètent, commencez par Security et n'ajoutez les autres catégories que lorsqu'un client en a besoin. Faites ensuite une évaluation de préparation et laissez aux contrôles assez de temps pour produire des traces avant le début de la période d'audit.

Laissez les systèmes produire les preuves comme sous-produit du travail normal : listes d'accès, journaux de changements et rapports de sécurité planifiés, plutôt que des captures d'écran rassemblées dans l'urgence à la fin. Un rapport peu coûteux à renouveler est un rapport qui est renouvelé.