SOC 2 Type 2 – Conformité et certification

SOC 2 Type 2 – Conformité et certification

Que signifie SOC ?

SOC est l’abréviation de System and Organization Controls et représente un ensemble de normes de conformité développées par l’American Institute of CPAs (AICPA) – un réseau de plus de 400 000 professionnels à travers le monde. Les audits SOC ont pour but d’examiner les politiques, les procédures et les contrôles internes d’une organisation.

Il existe trois audits et rapports SOC :

• SOC 1 – Rapports sur les processus et les contrôles qui influencent le contrôle interne de l’organisation relatif aux rapports financiers (ICFR). SOC 1 est également un rapport d’évaluation standard requis par les entités utilisatrices pour se conformer à la loi Sarbanes-Oxley (SOX).
• SOC 2 -Conçu pour les organisations de Services et les rapports sur les contrôles non-financiers. Se concentre sur cinq critères clés des services de confiance (anciennement appelés principes des services de confiance), ou TSC. SOC 2 décrit les normes nécessaires pour préserver la confidentialité et la sécurité des données sensibles lorsqu’elles sont en transit ou au repos.
• SOC 3 – – Le SOC 3 est similaire au SOC 2 en termes de critères d’audit. La principale différence concerne les rapports – SOC 2 est conçu pour être partagé avec des organisations spécifiques, alors que les rapports SOC 3 sont plus applicables à un public général et sont donc mis à la disposition du public.

Il existe 2 types de rapports pour SOC 1 et SOC 2 :

• • Rapport de type 1 – Applicable lorsque l’organisme de services n’est pas en activité depuis une durée suffisante pour permettre au vérificateur de recueillir des éléments probants suffisants et appropriés concernant l’efficacité du fonctionnement des contrôles, il s’agit donc d’un rapport « ponctuel ». Le rapport de type 1 s’applique aussi aux organismes de services qui ont récemment apporté des changements importants à leur système et aux contrôles connexes et qui ne disposent pas d’un historique suffisant avec un système stable pour permettre la réalisation de l’engagement de type 2.
  • Rapport de type 2 – Applicable aux organismes de services qui disposent d’un système stable de longue durée capable de démontrer l’efficacité de la structure des contrôles sur une période définie de manière rétrospective, normalement pas moins de 6 mois et pas plus de 12 mois.

À qui s’applique le SOC 2 ?

SOC 2 s’applique à toute organisation souhaitant démontrer de manière efficace aux organisations connexes les contrôles associés à la sécurité, à la disponibilité, à la confidentialité, à l’intégrité du traitement et à la confidentialité ou à toute combinaison de ces éléments dans le cadre de relations avec des tiers. Il s’applique également aux organisations qui stockent les données de leurs clients dans le cloud ainsi qu’aux fournisseurs de services tiers tels que les entreprises de stockage dans le cloud, d’hébergement web et de logiciels en tant que service (SaaS).

Qu’est-ce que la conformité SOC 2 ?

SOC 2 se concentre sur les rapports non financiers des contrôles et systèmes internes. En se conformant à la norme SOC 2, les organisations protègent la confidentialité et le caractère privé des données stockées dans des environnements de Cloud. De plus, la conformité SOC 2 aide les prestataires de services à montrer que le respect de la vie privée, la confidentialité et l’intégrité des données des clients sont une priorité.

SOC 2 définit les critères de gestion des données des clients sur la base de cinq (principes de service de confiance) « Trust Service Principles » (TSP) :

1. La sécurité
La sécurité est incluse dans tous les audits SOC. Elle couvre les critères communs liés à la protection des données et des systèmes. La TSP Sécurité vise à garantir que les informations et les systèmes sont protégés contre les accès non autorisés, la divulgation et les dommages.

2. La disponibilité
La TSP disponibilité traite de l’accessibilité et vise à évaluer les données que les clients reçoivent et la facilité avec laquelle elles sont disponibles. Elle examine aussi l’accessibilité pour les opérations, le suivi et la maintenance des données.

3. L’intégrité du traitement
La TSP d’intégrité du traitement assure que les systèmes traitent les données comme autorisé et évalue l’exactitude, l’exhaustivité, la validité et l’actualité des données. Elle valide également que les systèmes atteignent les objectifs et les buts pour lesquels ils ont été conçus.

4. La confidentialité
La présente TSP vise à garantir que les données « confidentielles » restent protégées et sécurisées. Elle encourage le cryptage des données en transit ainsi que les certificats clients et les certificats d’authentification personnelle.

5. La protection de la vie privée
La présente TSP traite de la manière dont les données sont collectées, utilisées, divulguées, conservées et éliminées. Elle sert à garantir la confidentialité et la sécurité des informations personnelles identifiables (PII). Les PII comprennent les noms, les numéros de sécurité sociale, les informations de contact, les adresses, etc. Les organisations sont tenues de démontrer qu’elles protègent et traitent les informations personnelles en toute sécurité.

Que sont les critères communs SOC 2 ?

Chacun des cinq TSP SOC 2 est composé de neuf sous-catégories spécifiques :

• Environnement de contrôle (CC1)
• Communication et information (CC2)
• L’évaluation des risques (CC3)
• Surveillance des contrôles (CC4)
• Activités de contrôle liées à la conception et à la mise en œuvre des contrôles (CC5)
• Contrôles d’accès logiques et physiques (CC6)
• Fonctionnement du système (CC7)
• Gestion du changement (CC8)
• Atténuation des risques (CC9)

Ce que SOC n’est PAS

SOC n’est pas une certification. SOC 1 et SOC 2 sont des ATTESTATIONS des contrôles tels que définis comme étant fonctionnels ou non, ni tels que conçus.

Qu’est-ce que l’attestation SOC 2 ?

L’attestation SOC est un type de rapport d’audit qui atteste de la fiabilité des services fournis par un organisme de services.

Qu’est-ce qu’un rapport SOC 2 ?

Il existe deux types de rapports SOC 2 :

• • • SOC 2 Type 1 – Décrit la description par la direction du système d’une organisation de services et l’adéquation de la conception et de l’efficacité opérationnelle des contrôles. Le présent rapport évalue les contrôles à un moment précis.
    • SOC 2 Type 2 – SOC 2 Type 2 – Se concentre non seulement sur la description et la conception des contrôles, mais aussi sur l’évaluation de l’efficacité opérationnelle. Le rapport évalue les contrôles sur une période prolongée afin de garantir l’efficacité des contrôles (ce qui peut prendre plusieurs mois).

Qui peut effectuer un audit SOC 2 ?

L’AICPA exige que les audits et rapports SOC soient effectués uniquement par des CPA indépendants et agréés.

Comment les fournisseurs de services gérés (MSP) se conforment-ils à SOC 2 ?

La principale préoccupation des entreprises en ce qui concerne les MSP est la sécurité (possibilité de violations et de fuites de données) ; la conformité SOC 2 peut donc aider les MSP à attirer davantage de clients. Les MSP peuvent se conformer au SOC 2 en commençant par une évaluation de l’état de préparation (fournie par ControlCase) puis en faisant appel à un CPA pour l’audit.

Comment réduire le coût de l’audit SOC 2 ?

1. Expertise en sécurité – Il est important de trouver un partenaire compétent qui puisse aider à créer et à mettre en œuvre des contrôles pour SOC 2 de type 2.
2. Collaboration – Assurez-vous que toutes les parties prenantes de l’entreprise sont impliquées tôt et souvent. Cela permettra la remise rapide des composants stratégiques et d’autres logistiques clés sur une base continue.
3. Engagement – Assurez-vous que toutes les parties prenantes comprennent, acceptent et reconnaissent les avantages de l’attestation SOC 2. Cela permettra d’obtenir un engagement envers le projet et de garantir la responsabilité.
4. Impliquer la direction – Obtenir l’adhésion des plus hauts niveaux de l’organisation le plus tôt possible aidera à garantir l’allocation des ressources, le budget et l’engagement du reste de l’équipe.

Pour obtenir de l’aide concernant l’attestation SOC 2 de bout en bout, veuillez nous contacter à ControlCase et nous serons heureux de vous fournir des détails et un devis AUJOURD’HUI !