Comprendre la conformité SOC 1 vs SOC 2 vs SOC 3

La mise en conformité est un facteur essentiel pour l'évolution de toute organisation.

Si, par exemple, vous dirigez une entreprise SaaS et visez une clientèle de taille moyenne, il est impératif de respecter les règles et les réglementations en vigueur. Il faut également maintenir un niveau de sécurité élevé pour votre entreprise.

Nombreuses sont les organisations qui tentent de contourner ces exigences en utilisant des questionnaires de sécurité.

Cependant, lorsqu'un client ou un prospect demande un certificat SOC, l'importance de la conformité réglementaire devient manifeste.

La conformité SOC (Service Organization Control) fait référence à une certification obtenue après un audit externe qui atteste des contrôles mis en place par votre organisation. Elle s'applique également à la chaîne d'approvisionnement et à la cybersécurité SOC.

En avril 2010, l'American Institute of Certified Public Accountants (AICPA) a remplacé la norme SAS 70 par une nouvelle norme d'audit plus précise : le Statement on Standards for Attestation Engagements (SSAE 16).

Parallèlement à l'audit SSAE 16, trois autres types de rapports ont été créés pour évaluer les contrôles d'une organisation de services. Il s'agit des rapports SOC, qui se déclinent en trois versions : SOC 1, SOC 2 et SOC 3, chacune ayant des objectifs distincts.

Cet article présentera en détail chaque rapport SOC, ses domaines d'application et son intégration dans la sécurité informatique.

C'est parti !

Qu'est-ce qu'un rapport SOC ?

Les rapports SOC peuvent être considérés comme un avantage concurrentiel pour une organisation, tant en termes de temps que d'argent. Ils font appel à des auditeurs externes et indépendants pour évaluer différents aspects d'une organisation, notamment :

• La disponibilité
• La confidentialité
• La protection de la vie privée
• L'intégrité du traitement
• La sécurité
• Les contrôles liés à la cybersécurité
• Les contrôles liés aux rapports financiers

Les rapports SOC permettent à une entreprise de s'assurer que les fournisseurs de services potentiels opèrent de manière conforme et éthique. Bien que les audits puissent être complexes, ils offrent un niveau de sécurité et de confiance élevé. Les rapports SOC contribuent à établir la fiabilité et la crédibilité d'un fournisseur de services.

De plus, les rapports SOC sont utiles pour :

• Les programmes de gestion des fournisseurs
• La supervision de l'organisation
• La veille réglementaire
• Les processus de gestion des risques et la gouvernance interne de l'entreprise

Pourquoi un rapport SOC est-il essentiel ?

Plusieurs types d'organisations de services, comme les centres de données, les fournisseurs de SaaS, les gestionnaires de prêts et les entreprises de traitement des demandes d'indemnisation, doivent se soumettre à un audit SOC. Ces organisations sont amenées à stocker des données financières ou sensibles appartenant à leurs clients ou entités utilisatrices.

Toute entreprise fournissant des services à d'autres entreprises ou utilisateurs peut donc être concernée par l'audit SOC. Un rapport SOC prouve la légitimité d'une entreprise auprès de ses clients potentiels et permet d'identifier les faiblesses et les lacunes de ses contrôles ou de ceux de ses clients lors des évaluations.

Que faut-il attendre d'une évaluation SOC ?

Avant de commencer un processus d'évaluation SOC, il est nécessaire de déterminer le type de rapport SOC qui convient le mieux à votre organisation. Ensuite, une procédure officielle débute par une évaluation de la préparation.

Les organisations de services se préparent à l'examen en identifiant les signaux d'alerte potentiels, les lacunes, les failles, etc. Cela permet à l'entreprise de mieux appréhender les options disponibles pour remédier à ces défauts et faiblesses.

Qui est habilité à effectuer un audit SOC ?

Les audits SOC sont réalisés par des experts-comptables indépendants (CPA) ou des cabinets d'expertise comptable.

L'AICPA établit des normes professionnelles qui régissent le travail des auditeurs SOC. De plus, les organisations doivent suivre certaines directives concernant l'exécution, la planification et la surveillance.

Chaque audit de l'AICPA est ensuite soumis à un examen par les pairs. Les organisations ou cabinets de CPA font également appel à des professionnels non-CPA ayant des compétences en technologies de l'information et en sécurité pour se préparer à un audit SOC. Toutefois, le rapport final doit être vérifié et publié par un CPA.

Examinons chaque rapport séparément pour mieux comprendre leur fonctionnement.

Qu'est-ce que le SOC 1 ?

L'objectif principal du SOC 1 est de contrôler les objectifs mentionnés dans les documents SOC 1 et les domaines de processus des contrôles internes qui sont pertinents pour l'audit des états financiers de l'entité utilisatrice.

En d'autres termes, il permet de savoir quand les services de l'organisation ont un impact sur les rapports financiers d'une entité utilisatrice.

Qu'est-ce qu'un rapport SOC 1 ?

Un rapport SOC 1 évalue le contrôle de la société de services applicable au contrôle de l'entité utilisatrice en matière de reporting financier. Il est conçu pour répondre aux demandes des entités utilisatrices. Dans ce cadre, les experts-comptables évaluent l'efficacité des contrôles internes de la société de services.

Il existe deux types de rapports SOC 1 :

• SOC 1 Type 1 : ce rapport est centré sur le système d'une organisation de services. Il vérifie la pertinence des contrôles du système pour atteindre les objectifs de contrôle, ainsi que la description à une date spécifique.

Les rapports SOC 1 de type 1 sont réservés aux auditeurs, aux gestionnaires et aux entités utilisatrices. En règle générale, les fournisseurs de services appartiennent à n'importe quelle organisation de services. Un auditeur de service détermine le rapport qui couvre toutes les exigences de la SSAE 16.

• SOC 1 Type 2 : ce rapport contient des opinions et une analyse similaires à celles du rapport SOC 1 Type 1. Cependant, il inclut des éléments d'appréciation sur l'efficacité des contrôles préétablis, conçus pour atteindre tous les objectifs de contrôle sur une période spécifique.

Dans un rapport SOC 1 Type 2, les objectifs de contrôle mettent en évidence les risques potentiels que le contrôle interne cherche à atténuer. Le périmètre inclut les domaines de contrôle pertinents et offre une assurance raisonnable. Il indique également que l'exécution des actions se limite à celles qui sont autorisées et appropriées.

Quel est l'objectif du SOC 1 ?

Comme mentionné précédemment, le SOC 1 est la première partie de la série Service Organization Control et porte sur les contrôles internes dans l'ensemble des rapports financiers. Il s'applique aux entreprises qui interagissent directement avec les données financières des partenaires et des clients.

Il sécurise ainsi l'interaction d'une organisation, le stockage et la transmission des états financiers des utilisateurs. Le rapport SOC 1 aide les investisseurs, les clients, les auditeurs et la direction à évaluer les contrôles internes relatifs aux rapports financiers, conformément aux directives de l'AICPA.

Comment maintenir la conformité SOC 1 ?

La conformité SOC 1 définit le processus de gestion de tous les contrôles SOC 1 ajoutés dans le rapport SOC 1 sur une période définie. Il assure l'efficacité du fonctionnement des règles SOC 1.

Les contrôles sont généralement des contrôles informatiques, des contrôles de processus métier, etc., utilisés pour offrir une assurance raisonnable basée sur les objectifs de contrôle.

Qu'est-ce que le SOC 2 ?

Le SOC 2, développé par l'AICPA, définit les critères de contrôle ou de gestion des informations client basés sur cinq principes visant à garantir des services de confiance :

• La disponibilité inclut la reprise après sinistre, la gestion des incidents de sécurité et la surveillance des performances.
• La confidentialité inclut le chiffrement, l'authentification à deux facteurs (2FA) et le contrôle d'accès.
• La sécurité comprend la détection des intrusions, l'authentification à deux facteurs et les pare-feu de réseau ou d'application.
• La protection de la vie privée inclut les contrôles d'accès, le chiffrement et les pare-feu d'application.
• L'intégrité du traitement comprend la surveillance du traitement et l'assurance qualité.

Le SOC 2 est spécifique à chaque organisation en raison de ses exigences strictes, contrairement à la norme PCI DSS. Avec des pratiques commerciales spécifiques, chaque conception a son propre contrôle pour se conformer à plusieurs principes de confiance.

Qu'est-ce qu'un rapport SOC 2 ?

Un rapport SOC 2 permet aux organisations de services de recevoir et de partager un rapport avec les parties prenantes, qui décrit les contrôles informatiques de sécurité mis en place.

Il existe deux types de rapports SOC 2 :

• SOC 2 Type 1 : Il décrit les systèmes du fournisseur et indique si la conception du fournisseur est adaptée pour répondre aux principes de confiance.
• SOC 2 Type 2 : Il partage les détails de l'efficacité opérationnelle des systèmes du fournisseur.

Le SOC 2 diffère d'une organisation à l'autre en ce qui concerne les cadres et les normes de sécurité de l'information, car il n'y a pas d'exigences prédéfinies. L'AICPA fournit des critères qu'une organisation de services sélectionne pour démontrer les contrôles qu'elle a mis en place pour protéger les services offerts.

Quel est l'objectif du SOC 2 ?

La conformité au SOC 2 indique que l'organisation contrôle et maintient un niveau élevé de sécurité des informations. Une conformité stricte permet aux organisations de garantir la sécurité de leurs informations critiques.

En vous conformant au SOC 2, vous obtiendrez :

• Des pratiques de sécurité des données améliorées, qui permettent à l'organisation de se défendre contre les cyberattaques et les failles de sécurité.
• Un avantage concurrentiel, car les clients souhaitent travailler avec des fournisseurs de services dotés de solides pratiques de sécurité des données, en particulier pour les services cloud et informatiques.

Il limite l'utilisation non autorisée des données et des actifs qu'une organisation gère. Les principes de sécurité exigent que les organisations ajoutent des contrôles d'accès pour protéger les données contre les attaques malveillantes, les abus, la divulgation non autorisée ou la modification des informations de l'entreprise et la suppression non autorisée des données.

Comment maintenir la conformité SOC 2 ?

La conformité SOC 2 est une norme volontaire développée par l'AICPA qui spécifie comment une organisation gère ses informations client. La norme est décrite avec cinq critères de services de confiance, à savoir la sécurité, l'intégrité du traitement, la confidentialité, la protection de la vie privée et la disponibilité.

La conformité SOC est adaptée aux besoins de chaque organisation. En fonction de ses pratiques commerciales, une organisation peut choisir des contrôles qui doivent suivre un ou plusieurs principes de service de confiance. Elle s'étend à tous les services, y compris la protection DDoS, l'équilibrage de charge, l'analyse des attaques, la sécurité des applications web, la diffusion de contenu via CDN, etc.

En résumé, la conformité SOC 2 ne constitue pas une liste exhaustive d'outils, de processus ou de contrôles. Elle souligne plutôt la nécessité de critères cruciaux pour maintenir la sécurité de l'information. Cela permet à chaque organisation d'adopter les processus et les pratiques les plus pertinents pour ses opérations et ses objectifs.

Voici la liste de contrôle de la conformité de base au SOC 2 :

• Contrôles d'accès
• Opérations système
• Atténuation des risques
• Gestion du changement

Qu'est-ce que le SOC 3 ?

Un SOC 3 est une procédure d'audit que l'AICPA a élaborée pour définir la solidité du contrôle interne d'une organisation de services en matière de centres de données et de sécurité du cloud. Le cadre du SOC 3 est également basé sur des critères de services de confiance qui incluent :

• Sécurité : les systèmes et les informations sont protégés contre la divulgation non autorisée, l'accès non autorisé et les dommages aux systèmes.
• Intégrité du processus : le traitement du système est valide, précis, autorisé, opportun et complet pour répondre aux demandes de l'entité.
• Disponibilité : les systèmes et les informations sont disponibles pour être utilisés et exploités afin de répondre aux demandes de l'entité.
• Confidentialité : les informations personnelles sont utilisées, divulguées, éliminées, conservées et collectées pour répondre aux demandes de l'entité.
• Protection de la vie privée : les informations désignées comme critiques sont protégées pour répondre aux exigences de l'entité.

Grâce au SOC 3, les organisations de services déterminent lesquels de ces critères de services de confiance s'appliquent au service qu'elles offrent à leurs clients. Vous trouverez également des rapports supplémentaires, des exigences de performance et des conseils d'application dans les déclarations sur les normes.

Qu'est-ce qu'un rapport SOC 3 ?

Les rapports SOC 3 contiennent les mêmes informations que les rapports SOC 2, mais diffèrent en termes de public cible. Un rapport SOC 3 est destiné au grand public. Ces rapports sont plus concis et n'incluent pas précisément les mêmes données qu'un rapport SOC 2. Ils sont conçus pour les parties prenantes et les publics avertis.

Un rapport SOC 3 étant plus général, il peut être partagé rapidement et ouvertement sur le site Web d'une entreprise, accompagné d'un sceau décrivant sa conformité. Il aide à suivre le rythme des normes comptables internationales.

Par exemple, AWS autorise le téléchargement public du rapport SOC 3.

Quel est l'objectif du SOC 3 ?

Les entreprises, en particulier les petites entreprises ou les start-ups, ne disposent généralement pas de suffisamment de ressources pour contrôler ou maintenir certains services essentiels en interne. Elles externalisent donc souvent ces services auprès de fournisseurs tiers au lieu d'investir des efforts ou des fonds supplémentaires dans la création d'un nouveau département pour ces services.

L'externalisation est une meilleure option, mais elle peut comporter des risques. En effet, une organisation partage des données client ou des informations sensibles avec des fournisseurs tiers en fonction des services qu'elle choisit d'externaliser.

Cependant, les organisations doivent s'associer uniquement avec des fournisseurs qui démontrent la conformité au SOC 3.

La conformité au SOC 3 est basée sur les sections AT-C 205 et AT-C 105 de la norme SSAE 18. Elle comprend les informations de base de la description de la direction indépendante et du rapport de l'auditeur. Elle s'applique à tous les fournisseurs de services qui stockent des informations client dans le cloud, y compris les fournisseurs PaaS, IaaS et SaaS.

Comment maintenir la conformité au SOC 3 ?

Le SOC 3 est la version ultérieure du SOC 2, la procédure d'audit est donc la même. Les auditeurs de services recherchent les politiques et contrôles suivants :

Une fois l'audit terminé, l'auditeur génère un rapport basé sur les constatations. Toutefois, un rapport SOC 3 est beaucoup moins détaillé, car il ne communique que les informations nécessaires au public. L'organisation de services publie librement les résultats après avoir terminé l'audit final à des fins de marketing. Cela vous indique sur quoi vous concentrer pour réussir l'audit. Il est donc conseillé à l'organisme de service de :

• Sélectionner les contrôles avec soin.
• Procéder à une évaluation pour identifier les lacunes dans les contrôles.
• Comprendre l'activité régulière.
• Décrire les prochaines étapes pour l'alerte d'incident.
• Rechercher un auditeur de service qualifié pour effectuer l'examen final.

Maintenant que vous avez une idée de chaque type de conformité, voyons les différences entre les trois pour savoir comment ils aident chaque entreprise à se positionner sur le marché.

SOC 1 vs SOC 2 vs SOC 3 : Différences

Le tableau ci-dessous décrit les objectifs et les avantages de chaque rapport SOC.

Conclusion

Pour déterminer quelle conformité SOC est la plus adaptée à votre organisation, il est important de tenir compte du type d'informations que vous traitez, qu'il s'agisse des données de vos clients ou des vôtres.

Si vous proposez des services de traitement de la paie, vous pouvez envisager le SOC 1. Si vous traitez ou hébergez des données client, un rapport SOC 2 peut être nécessaire. De même, si vous souhaitez une conformité moins formelle, ce qui est préférable à des fins de marketing, vous pouvez opter pour un rapport SOC 3.