Guide sur la conformité SOC 2 dans le cloud

Il existe deux types d’audits SOC 2 : Type 1 et Type 2. Un audit SOC 2 de type 1 évalue les contrôles internes d’une organisation à un moment précis (par exemple, le 1er mars). Un audit SOC 2 de type 2 évalue et détaille les contrôles internes d’une organisation sur une période donnée (par exemple, du 1er mars au 31 décembre).

SOC 2 et SOC 1

SOC 1 se distingue de SOC 2 par son périmètre. Alors que SOC 2 porte sur les cinq principes de confiance, SOC 1 évalue les contrôles internes d’un fournisseur de services cloud liés à l’information financière. Il convient donc parfaitement aux entreprises qui traitent des informations financières sensibles. Les prestataires de paiement, les agences de recouvrement et les administrateurs de régimes d’avantages sociaux sont des exemples d’organisations auxquelles SOC 1 est adapté.

Pourquoi la conformité SOC 2 est-elle importante ?

La conformité SOC 2 est importante, car les organisations doivent s’assurer de disposer des protocoles et des systèmes nécessaires pour protéger les informations de leurs clients. La conformité SOC 2 démontre aux clients et partenaires actuels et potentiels que l’organisation prend la sécurité du cloud au sérieux. En effet, il n’est pas rare que les contrats clients exigent la conformité SOC 2. De plus, les rapports SOC 2 sont largement reconnus et évitent d’avoir à se soumettre à un audit de cybersécurité personnalisé à chaque intégration d’un nouveau client.

Liste de contrôle des principes de confiance SOC 2

Pour être conformes à SOC 2, les entreprises doivent respecter les principes de confiance SOC 2. Toutefois, seul le principe de sécurité est obligatoire : les autres sont facultatifs. Une organisation peut choisir parmi les principes facultatifs pour démontrer un engagement encore plus fort envers la protection des informations de ses clients.

Les principes des services de confiance sont les suivants :

1. Sécurité : contrôles visant à atténuer les risques et à protéger les informations contre tout accès non autorisé, toute divulgation non autorisée ou tout dommage, tout au long de leur cycle de vie.

2. Disponibilité : contrôles destinés à assurer et à maintenir la disponibilité opérationnelle des systèmes afin que les informations soient suffisamment accessibles pour répondre aux objectifs commerciaux et aux accords de service.

3. Intégrité du traitement : contrôles visant à garantir un traitement prévisible et sans erreur des données, pour une précision et une fiabilité optimales.

4. Confidentialité : contrôles visant à garantir la confidentialité des informations sensibles, telles que la propriété intellectuelle et les secrets commerciaux, tout au long de leur cycle de vie, de leur collecte à leur élimination.

5. Protection de la vie privée : contrôles visant à garantir que les informations personnelles identifiables (PII) recueillies par une organisation ne sont accessibles qu’aux personnes autorisées.

Audits SOC 2

Les audits SOC 2 doivent être réalisés par un expert-comptable agréé. Le processus prend généralement plusieurs mois, mais une évaluation de préparation à SOC 2, qui permet de repérer les lacunes dans les contrôles ou les processus avant le début de l’audit, peut en accélérer le déroulement.

Votre équipe d’audit établira une liste des demandes d’informations (IRL) et déterminera les critères des services de confiance à évaluer. Vous fournirez à l’auditeur des preuves de vos contrôles internes, puis il effectuera une visite détaillée de votre environnement. Il produira ensuite un rapport SOC 2 présentant les résultats de l’évaluation. Pour en savoir plus, consultez l’article « Audits SOC 2 : rapports et certification dans le cloud ».

SOC 2 et conformité dans le cloud

Chacun des cinq principes de confiance SOC 2 comporte ses propres sous-catégories. Voici celles qui concernent les critères de sécurité obligatoires dans le contexte de la conformité des environnements cloud.

• CC2.0 : Communication et information : porte sur la manière dont les organisations gèrent les communications internes et externes ainsi que les flux d’information.

• CC5.0 : Activités de contrôle : porte sur la manière dont les activités de contrôle d’une organisation prennent en compte la gestion des risques et la technologie.

• CC6.0 : Contrôles d’accès logiques et physiques : porte sur la manière dont les contrôles d’une organisation permettent l’accès logique aux systèmes informatiques et aux identifiants, réglementent l’accès physique aux locaux et intègrent des mesures de sécurité pour détecter et empêcher les accès non autorisés.

• CC7.0 : Exploitation des systèmes : porte sur la manière dont les contrôles d’une organisation surveillent les systèmes afin de détecter les anomalies, les événements et les changements de configuration susceptibles d’entraîner des risques de sécurité, et définissent des protocoles de réponse aux incidents pour contenir, corriger et signaler les incidents de sécurité.

• CC8.0 : Gestion des changements : porte sur la manière dont les organisations évaluent et déterminent les changements nécessaires à l’infrastructure, aux données, aux logiciels et aux procédures, afin de les mettre en œuvre de manière sécurisée et d’empêcher les changements non autorisés.

Comment Snyk peut vous aider à assurer la conformité SOC 2 dans le cloud

Les environnements cloud ajoutent une nouvelle dimension à l’infrastructure d’une organisation et doivent être sécurisés pour protéger les informations des clients. Snyk s’appuie sur un moteur unifié de politiques sous forme de code pour aider les équipes à développer, déployer et exploiter leurs applications en toute sécurité dans le cloud. La sécurité cloud automatisée permet de bénéficier immédiatement d’une conformité cloud de premier ordre.

FAQ SOC 2