Quelle est la différence entre un rapport SOC 2 Type 1 et Type 2 ?

Un rapport Type 1 examine si les contrôles sont conçus de manière appropriée et en place à une date donnée ; un rapport Type 2 vérifie en plus s’ils ont fonctionné efficacement sur une période, généralement plusieurs mois. Le Type 1 répond à « avez-vous les bons contrôles à cette date ? » ; le Type 2 à « ont-ils réellement fonctionné tout du long ? », d’où la préférence des clients qui dépendent d’un fournisseur. Un Type 2 exige des preuves collectées sur toute la période : revues d’accès faites à l’échéance, changements approuvés avant mise en production, incidents traités selon la procédure, alertes de surveillance examinées. Une entreprise commence souvent par un Type 1 pour corriger la conception, puis fait fonctionner les contrôles et collecte les preuves pour un Type 2. Quel que soit le type, vérifiez les dates, le périmètre, les critères couverts et chaque écart relevé par l’auditeur, et demandez comment il a été corrigé. NetSenX indique son propre statut clairement : le SOCSOC: security operations centre (centre opérationnel de sécurité). Une équipe, souvent active jour et nuit, chargée de repérer les attaques et d'y répondre. 2 Type I est en préparation, aucun rapport SOC 2 d’aucun type n’a été émis, et un Type II suivrait une fois que les contrôles auront fonctionné sur une période.

← Les 15 questions sur Normes de sécurité : ISO 27001, SOC 2Tous les thèmes