AICPA · Trust Services Criteria 2017 (révision 2022)
Vos clients américains vous demandent un rapport SOC 2 et vous ne savez pas par où commencer. Audexa parcourt avec vous les 61 critères, vous indique ce que l'auditeur CPA examinera et quelles preuves il vous faut sur la période, puis transforme chaque écart en tâche avec un responsable.
Ce qu'est SOC 2
Un rapport SOC 2 décrit votre système et donne l'opinion d'un auditeur indépendant sur vos contrôles, au regard des critères de services de confiance de l'AICPA. Ce sont surtout les clients américains qui le demandent avant de signer avec un éditeur SaaS ou un prestataire.
Les critères communs CC1 à CC9 font partie de tout rapport. Disponibilité, Confidentialité, Intégrité du traitement et Vie privée s'ajoutent lorsque vous prenez des engagements envers vos clients dans ces domaines.
L'auditeur vérifie que les contrôles sont conçus et en place à une date donnée. C'est la première étape habituelle pour qui n'a jamais eu de rapport.
L'auditeur prélève des échantillons sur une période convenue et demande la preuve que chaque contrôle a fonctionné. Une acceptation non signée ou une revue d'accès oubliée devient une exception.
La direction décrit le service, ses limites, l'infrastructure, les personnes et les données. Cette description fait partie du rapport et doit correspondre à ce que voit l'auditeur.
Certaines responsabilités reviennent à vos clients, comme gérer leurs propres utilisateurs ou activer la MFA. Le rapport les liste : mieux vaut qu'elles soient claires et publiées.
Si vous dépendez d'AWS, Azure, GCP ou d'autres prestataires, vous décidez s'ils restent hors du périmètre (carve-out) ou dedans (inclusive) et vous rassemblez leurs propres rapports SOC 2.
Comment Audexa vous aide
Un questionnaire guidé, critère par critère, avec ce qu'attend l'auditeur, relié aux tâches, aux politiques et aux preuves.
Sachez quels critères vous couvrez et lesquels non.
Avant de commencer, vous choisissez les catégories ; la Sécurité est toujours incluse. Le questionnaire n'affiche que les critères de votre rapport.
Chaque critère explique ce que demandera l'auditeur et ce qui change entre Type I et Type II.
Vous répondez contrôle par contrôle et indiquez l'applicabilité avec son motif.
Chaque constat devient un travail avec un responsable.
Étapes concrètes, preuves attendues, responsable suggéré, critère de clôture et date de revue.
Les écarts deviennent des tâches avec sous-tâches, responsable et dates.
67 modèles de politiques pour ne pas partir de zéro. 5 sont liés à SOC 2 : « Politique de sécurité des informations », « Politique de contrôle d'accès », « Politique de réponse aux incidents », « Politique de gestion du changement » et « Procédure de catalogue de services, de niveaux de service et de capacité ».
Ayez sous la main ce que demandera l'auditeur.
Conservez les preuves de fonctionnement de la période à côté du critère auquel elles répondent.
Score, constats et plan d'action à partager avec la direction ou votre auditeur.
Refaites l'évaluation au fil des écarts clos et comparez l'avancement avant la période du rapport.
Certaines fonctionnalités dépendent de votre offre et des modules activés.
Question préalable
La Sécurité (CC1 à CC9) est toujours incluse. Ajoutez la Disponibilité si vous proposez un SLA, la Confidentialité si vous signez des clauses de confidentialité, l'Intégrité du traitement si vous calculez ou transmettez des transactions critiques et la Vie privée si vous traitez des données personnelles. Vous voyez le nombre de questions avant de commencer.
Type I et Type II
Pour le Type I, il suffit de montrer que le contrôle est conçu et fonctionne à une date. Pour le Type II, l'auditeur échantillonne la période : arrivées et départs, revues d'accès, changements déployés, incidents. Chaque critère d'Audexa vous dit quel échantillon attendre et quelle trace conserver.
Déjà ISO 27001 ?
À la création de l'audit SOC 2, Audexa estime ce que couvrent déjà vos autres audits. Les réponses issues d'une correspondance à couverture élevée arrivent proposées avec la mention « Vérifiez-le », et une personne les confirme. Ce ne sont pas des équivalences automatiques : l'auditeur CPA testera vos contrôles quoi qu'il en soit.
Comment ça marche
Choisissez les catégories du rapport, voyez ce que couvre déjà votre travail et indiquez l'applicabilité de chaque critère.
Répondez critère par critère en sachant quelles preuves le CPA demandera en Type I et en Type II.
Attribuez les tâches, approuvez les politiques, conservez les preuves de la période et refaites l'évaluation avant l'audit.
Plans
Les plans Free et Core n'incluent pas SOC 2. Le prix dépend de la taille de votre équipe : nous vous remettons une proposition ferme lors de la démo.
Pour préparer SOC 2 avec une petite équipe.
Pour plusieurs référentiels et équipes, sans limites.
Avant et après
Périmètre
Doutes sur les catégories à inclure
Question préalable, Sécurité toujours incluse
Attentes de l'auditeur
Découvertes à la première réunion
Repères Type I et Type II dans chaque critère
Écarts
Listes sans responsable ni date
Tâches avec sous-tâches, responsable et critère de clôture
Preuves de la période
Captures éparpillées dans des dossiers
Coffre de preuves relié à chaque critère
ISO 27001
Tout refaire depuis zéro
135 correspondances à vérifier
Questions fréquentes
Non. Seul un auditeur CPA indépendant peut émettre un rapport SOC 2. Audexa vous aide à vous préparer : autoévaluation guidée, plan d'action et preuves organisées pour le début de l'audit.
Le Type I évalue la conception de vos contrôles à une date précise. Le Type II évalue en plus leur fonctionnement sur une période, à partir d'échantillons de cette période. Audexa précise dans chaque critère les preuves nécessaires dans chaque cas.
La Sécurité est toujours incluse. Les autres (Disponibilité, Confidentialité, Intégrité du traitement et Vie privée) s'ajoutent si vous avez des engagements envers vos clients dans ces domaines. Dans Audexa, vous les choisissez avant le questionnaire et ne voyez que les critères applicables.
C'est un bon point de départ. Audexa compte 135 correspondances entre SOC 2 et ISO 27001 et vous montre ce qu'elles couvrent avant de commencer. Les réponses arrivent proposées pour qu'une personne les vérifie, et l'auditeur CPA testera les contrôles quoi qu'il en soit.
Les CUEC sont des contrôles que vos clients doivent appliquer de leur côté, comme gérer leurs utilisateurs. Les organisations sous-traitantes sont les prestataires dont vous dépendez, comme votre cloud. Audexa vous guide pour documenter les deux et choisir entre carve-out et inclusive.
SOC 2 est disponible dans les plans Premium et Diamond. Free et Core ne l'incluent pas. Pendant la démo, nous voyons quel plan convient à votre équipe.
Demander une démo
En 30 minutes de démo, nous parcourons le choix des catégories, les repères de l'auditeur par critère et le plan d'action.
