SOC 2 n'est pas une certification, c'est une attestation. La nuance a des conséquences pratiques : il n'existe pas de liste d'exigences à cocher, mais des critères que chaque organisation décline en contrôles qui lui sont propres, et un auditeur indépendant qui se prononce sur leur efficacité. Deux entreprises du même secteur produisent des rapports différents, et c'est normal.
Type I et Type II ne mesurent pas la même chose
Le Type I atteste que les contrôles sont conçus de manière appropriée à une date donnée. C'est une photographie.
Le Type II atteste qu'ils ont fonctionné efficacement sur une période, généralement de trois à douze mois. C'est un film, et c'est le seul que les clients exigeants acceptent.
L'erreur classique est de viser directement le Type II sans Type I. La période d'observation commence alors avec des contrôles qui ne sont pas stabilisés, et chaque défaut du premier mois se retrouve dans le rapport final. Passer par un Type I coûte un audit de plus et fait gagner du temps.
Choisir les critères, et n'en choisir que ce qui est nécessaire
Les Trust Services Criteria comptent cinq catégories. La sécurité est obligatoire, c'est le socle commun. Les quatre autres sont facultatives : disponibilité, intégrité du traitement, confidentialité, protection de la vie privée.
Chaque catégorie ajoutée allonge l'audit et multiplie les preuves à produire. Le réflexe de tout prendre pour « rassurer » se paie en mois. La bonne méthode consiste à lire les questionnaires de sécurité de vos trois plus gros prospects et à ne retenir que ce qu'ils demandent réellement. Dans beaucoup de cas, sécurité et disponibilité suffisent.
La période d'observation se prépare avant de commencer
C'est le point qui distingue un parcours maîtrisé d'un parcours subi. Tout ce qui n'est pas en place au premier jour de la période produira un écart, parce que l'auditeur échantillonne sur toute la fenêtre.
Trois contrôles doivent fonctionner avant l'ouverture, faute de quoi ils manqueront de preuves : la revue des accès, dont la fréquence doit avoir produit au moins deux occurrences ; la gestion des changements, qui doit tracer chaque mise en production sans exception rétroactive ; et la revue des journaux, dont il faut pouvoir montrer qu'elle a eu lieu, pas seulement qu'elle est configurée.
Les écarts qui reviennent
Les preuves reconstituées. L'auditeur échantillonne, par exemple quinze changements sur la période. Si les tickets ont été créés après coup, les horodatages le montrent. C'est l'écart le plus fréquent et le plus difficile à rattraper, puisqu'il ne se corrige pas rétroactivement.
Les départs traités en retard. L'échantillon porte sur les départs réels. Un seul compte révoqué trois semaines après le départ suffit à créer une exception, quelle que soit la qualité de la procédure écrite.
Les exceptions non documentées. Un contrôle contourné une fois pour une urgence n'est pas un problème s'il est tracé et approuvé. Il en devient un s'il est découvert par l'auditeur.
Les fournisseurs non suivis. Les critères demandent une surveillance des sous-traitants. Récupérer leurs rapports SOC 2 ne suffit pas : il faut montrer que quelqu'un les a lus, et ce qu'il en a conclu, notamment sur les contrôles complémentaires attendus de votre part.
Le périmètre flou. Le rapport décrit un système. Si sa description ne correspond pas à ce que le client achète, le rapport ne le rassure pas et la question revient sous forme de questionnaire.
Ce que contient le rapport, et ce que le client en fait
Un rapport SOC 2 Type II comprend l'opinion de l'auditeur, l'assertion de la direction, la description du système, et le détail des contrôles avec les tests effectués et leurs résultats.
Une opinion avec réserve n'est pas un échec commercial. Les clients avertis lisent la section des exceptions et regardent surtout la réponse de la direction. Une exception assumée, expliquée, avec un plan daté, se défend mieux qu'un rapport sans réserve dont la description du système est vague.
SOC 2 et ISO 27001 se recouvrent largement
Les deux cadres partagent une part importante de leurs contrôles : gestion des accès, gestion des changements, réponse aux incidents, sécurité des fournisseurs. Les mener séparément revient à collecter deux fois les mêmes preuves.
Les différences tiennent à la forme. ISO 27001 certifie un système de management et exige une appréciation du risque documentée, une déclaration d'applicabilité et un cycle d'audit interne. SOC 2 atteste de l'efficacité de contrôles sur une période et produit un rapport détaillé destiné à être lu par les clients.
L'ordre dépend de votre marché. Les acheteurs nord-américains demandent SOC 2, les marchés européens et les appels d'offres publics demandent ISO 27001. Quand les deux sont nécessaires, construire le référentiel de contrôles une fois et le rattacher aux deux cadres évite de doubler la charge.
Ce que Zaxyr apporte
Zaxyr collecte les preuves à leur rythme d'exécution sur toute la période d'observation, avec leur horodatage réel, ce qui répond au point qui fait échouer le plus d'audits Type II. Un même contrôle est rattaché simultanément aux Trust Services Criteria et à l'annexe A d'ISO 27001, de sorte qu'une preuve collectée une fois sert aux deux rapports.