Qu’est-ce que SOC 2, et pourquoi les clients le demandent-ils ?

SOCSOC: security operations centre (centre opérationnel de sécurité). Une équipe, souvent active jour et nuit, chargée de repérer les attaques et d'y répondre. 2 est un rapport d’attestation, défini par l’AICPA, l’organisme professionnel des experts-comptables américains, dans lequel un auditeur indépendant examine les contrôles d’un prestataire de services au regard des Trust Services Criteria. La sécurité est toujours incluse ; la disponibilité, l’intégrité du traitement, la confidentialité et la vie privée peuvent s’y ajouter. Le rapport décrit le système, les contrôles revendiqués par l’entreprise, les tests de l’auditeur et les écarts relevés, et il est en général communiqué aux clients sous accord de confidentialité. Les clients, surtout en Amérique du Nord, le demandent parce qu’il leur permet de s’appuyer sur un examen indépendant plutôt que d’auditer chaque fournisseur eux-mêmes. Ce n’est pas une certification et il n’y a pas de note de passage : on lit l’opinion de l’auditeur, le périmètre et les écarts. Quand un fournisseur vous en envoie un, vérifiez la période couverte, les services et sites inclus, les critères retenus et les contrôles complémentaires que vous êtes censé assurer de votre côté. NetSenX ne dispose pas aujourd’hui d’un rapport SOC 2 ; le SOC 2 Type I est en préparation.

← Les 15 questions sur Normes de sécurité : ISO 27001, SOC 2Tous les thèmes