International · Trust Services Criteria (AICPA)
SOC 2 n'est pas une certification mais un rapport d'attestation, émis par un cabinet d'audit indépendant sur la base des Trust Services Criteria de l'AICPA. Pour un éditeur de logiciel, c'est souvent la pièce que le client réclame avant de signer.
Le cadre
Les prestataires de services, notamment SaaS, qui documentent leurs contrôles de sécurité et de disponibilité pour leurs clients.
Couverture fonctionnelle
0
Exigences pré-chargées
En pratique
Ce qui bloque n'est presque jamais la connaissance du texte. C'est la trace de ce qui a été fait, et le lien entre l'exigence et la pièce qui la couvre.
Questions fréquentes
Non. Un rapport SOC 2 est émis par un cabinet d'audit indépendant. L'outil prépare la mission : état de couverture, écarts, preuves rattachées, plan de traitement.
Cela dépend de qui vous le demande, pas de leur qualité respective. SOC 2 est surtout attendu par des clients nord-américains, ISO 27001 est la référence internationale et européenne. Beaucoup d'éditeurs finissent par tenir les deux, ce qui est moins lourd qu'il n'y paraît vu leur recouvrement.
Elle se fixe avec le cabinet qui conduit la mission, en général de trois à douze mois. Ce qui vous concerne est que les preuves existent sur toute la période, pas seulement à la fin.
Ce n'est pas obligatoire. Certaines organisations passent par un type 1 pour donner un signal rapide à leurs clients, puis enchaînent sur un type 2. D'autres visent directement le type 2. Le choix se discute avec le cabinet et avec les clients qui réclament le rapport.
Non. La sécurité constitue le socle commun. Les autres critères s'ajoutent selon les engagements que vous prenez auprès de vos clients, et chacun ajoute des contrôles à démontrer.
Souvent gérés ensemble
Les 15 référentiels couverts sont listés sur la page référentiels, et le fonctionnement général sur la page logiciel GRC.
13 exigences auditables dès la création du compte.
