Préparation SOC 2 et accompagnement à l'audit
Le SOC 2 est une attestation émise par un cabinet CPA indépendant, qu'aucun cabinet de conseil ne peut vous délivrer. Notre rôle est de vous y préparer : une analyse d'écart par rapport aux Trust Services Criteria de l'AICPA, les contrôles et les preuves nécessaires pour combler ces écarts, et le test d'intrusion sur lequel repose votre rapport. L'audit lui-même est réalisé par un CPA agréé.
Ce que couvre la préparation
Le SOC 2 rend compte des contrôles d'une organisation de services par rapport aux Trust Services Criteria (TSC) de l'AICPA : la Sécurité (les Common Criteria obligatoires), plus la Disponibilité, l'Intégrité du traitement, la Confidentialité et la Vie privée selon votre choix. Nous vous aidons à cadrer les bons critères, puis à combler l'écart entre votre situation actuelle et un ensemble de contrôles auditable.
- Cadrage de la description du système et des Trust Services Criteria applicables
- Analyse d'écart des contrôles par rapport aux Common Criteria de Sécurité (CC1-CC9)
- Catégories optionnelles : Disponibilité, Intégrité du traitement, Confidentialité, Vie privée
- Politiques, procédures et récits de preuves/contrôles attendus par un auditeur
- Tests d'intrusion comme preuve technique pour les Common Criteria
- Type I (conception à un instant donné) face au Type II (efficacité opérationnelle sur une période)
La préparation d'abord, puis l'audit
Nous vous préparons, mais nous ne sommes pas votre auditeur. Les deux rôles sont volontairement séparés, car le cabinet CPA doit être indépendant. Nous menons l'analyse d'écart et la remédiation, vous abordez l'examen en étant prêt, puis le CPA le réalise et émet le rapport SOC 2. Nous pouvons recommander des cabinets d'audit, mais n'émettons jamais l'attestation nous-mêmes.
- 1
Cadrage
Nous convenons des limites du système, des Trust Services Criteria inclus dans le périmètre et du Type I face au Type II, et signons un NDA.
- 2
Analyse d'écart
Nous mesurons vos contrôles actuels par rapport aux Common Criteria et à toute catégorie choisie, et priorisons les écarts.
- 3
Remédiation
Nous vous aidons à mettre en place les contrôles, politiques et preuves manquants, et menons le test d'intrusion dont dépend le rapport.
- 4
Accompagnement à l'audit
Nous vous préparons à l'examen et vous accompagnons tout au long des travaux sur le terrain du cabinet CPA indépendant.
- 5
Observation Type II
Pour le Type II, les contrôles doivent fonctionner sur une période (généralement 3 à 12 mois) ; nous vous aidons à les maintenir et à en apporter la preuve.
Ce que vous recevez
Un livrable de préparation clair et le dossier de preuves techniques : tout ce qu'il faut pour aborder l'examen en étant prêt. Le rapport SOC 2 lui-même est émis par le cabinet CPA, pas par nous.
- Rapport d'analyse d'écart mis en correspondance avec les Trust Services Criteria
- Plan de remédiation priorisé avec responsables et estimations de charge
- Récits de contrôles, modèles de politiques et liste de contrôle des preuves
- Rapport de test d'intrusion (CVSS 3.1, PoC, reproduction) comme preuve pour les Common Criteria
- Validation de préparation indiquant que vous êtes prêt pour l'examen
- Contre-test gratuit des constats techniques corrigés avant la fenêtre d'audit, selon le calendrier fixé par le SoW
Ancré dans les Trust Services Criteria de l'AICPA
La préparation suit les Trust Services Criteria de l'AICPA : la Sécurité (Common Criteria obligatoires), plus la Disponibilité, l'Intégrité du traitement, la Confidentialité et la Vie privée selon votre choix. Un examen SOC 2 doit être réalisé par un cabinet CPA agréé indépendant. Nous fournissons la préparation, l'analyse d'écart, la remédiation et le test d'intrusion associé, mais nous ne sommes pas un cabinet CPA et n'émettons ni le rapport ni l'attestation SOC 2. Le Type II exige en outre que les contrôles fonctionnent sur une période d'observation.