SOC 2 expliqué aux entreprises françaises

SOC 2 est un rapport d'audit américain qui décrit les contrôles de sécurité d'un prestataire et donne l'avis d'un cabinet indépendant sur leur conception et, dans sa version Type 2, sur leur fonctionnement dans la durée. Peu connu en France, il devient incontournable dès qu'un éditeur SaaS français veut signer des clients aux États-Unis. Voici comment il fonctionne et comment il s'articule avec ISO 27001.

SOC signifie System and Organization Controls. C'est une famille de rapports définie par l'AICPA, l'American Institute of Certified Public Accountants, l'organisation professionnelle des experts-comptables américains. Selon la présentation qu'en fait Microsoft, ces rapports examinent les services fournis par une organisation de services pour que ses clients puissent évaluer et maîtriser le risque lié à l'externalisation.

Le rapport SOC 2 porte sur les contrôles qui concernent la sécurité, la disponibilité, l'intégrité du traitement, la confidentialité et la vie privée. Il est réalisé par un cabinet d'expertise comptable indépendant (un CPA firm) selon les normes d'attestation de l'AICPA, notamment la norme SSAE 18. Trois points à retenir d'emblée :

• Ce n'est pas une certification. L'auditeur émet un rapport et une opinion, pas un certificat.
• Le rapport est confidentiel. Il se communique en général sous accord de confidentialité ; les fournisseurs comme AWS publient en revanche un rapport SOC 3, version publique et résumée.
• Il ne vise pas les comptes. Son cousin, le rapport SOC 1, porte sur les contrôles qui comptent pour le contrôle interne de l'information financière des clients ; SOC 2 porte sur la sécurité du service.

Le référentiel de SOC 2 s'appelle les Trust Services Criteria, que l'on peut traduire par critères de services de confiance. La version en vigueur date de 2017 ; ses « points d'attention », qui illustrent chaque critère, ont été révisés en 2022 sans que les critères eux-mêmes changent, comme l'explique une note d'EY. Les critères sont regroupés en cinq catégories.

La sécurité est la seule catégorie obligatoire. Elle regroupe les critères communs, numérotés de CC1 à CC9, qui s'appliquent à tous les rapports : environnement de contrôle, communication et information, appréciation des risques, surveillance, activités de contrôle, accès logiques et physiques, exploitation des systèmes, gestion des changements et atténuation des risques, tels que les définit le référentiel de l'AICPA. Les quatre autres catégories s'ajoutent selon les engagements que vous prenez envers vos clients.

C'est la question la plus fréquente. Google Cloud la résume ainsi : un rapport Type 1 porte sur la conception des contrôles à une date précise ; un rapport Type 2 porte sur leur conception et leur efficacité opérationnelle sur une période. Autrement dit, le Type 1 répond à la question « les bons contrôles existent-ils ? » et le Type 2 à la question « ont-ils fonctionné pendant toute la période ? ».

Un rapport SOC 2 est un document de plusieurs dizaines de pages. On y trouve principalement :

• l'opinion de l'auditeur, qui se prononce sur la sincérité de la description du système et sur les contrôles ;
• la description du système rédigée par l'entreprise : services, infrastructure, logiciels, personnes, procédures, données, et prestataires sur lesquels elle s'appuie ;
• la liste des contrôles, rattachés aux critères de services de confiance ;
• pour un Type 2, les tests réalisés et leurs résultats, y compris les écarts constatés.

Si vous êtes de l'autre côté, acheteur d'un service américain, c'est ce document qu'il faut lire, et pas seulement sa première page. Vérifiez la période couverte, le périmètre (le service que vous achetez est-il dedans ?), les catégories retenues et les écarts. Notre article sur le questionnaire de sécurité fournisseur explique comment combiner ces preuves avec vos propres questions.

Les deux démarches se recoupent largement, au point que l'AICPA publie une correspondance entre les critères de services de confiance et ISO 27001. Elles ne disent pourtant pas la même chose.

Aucune loi américaine n'impose SOC 2. Le besoin vient des acheteurs. Aux États-Unis, l'évaluation des fournisseurs s'est construite autour de ce rapport : les équipes sécurité et achats de vos prospects l'attendent dans leur processus de référencement, au même titre qu'un questionnaire de sécurité. Sans rapport, un éditeur s'expose à des questionnaires plus longs, à des audits sur place ou à une sortie pure et simple de la consultation.

Un certificat ISO 27001 aide, mais ne remplace pas toujours le rapport : l'acheteur veut voir les contrôles testés et les écarts, pas seulement l'existence d'un système de management. À l'inverse, pour vendre en France et en Europe, ISO 27001 reste la référence, complétée selon les secteurs par HDS, SecNumCloud ou, dans l'automobile, TISAX. Beaucoup d'éditeurs qui visent les deux marchés mènent donc les deux démarches en parallèle, avec un seul jeu de mesures.

Le même raisonnement vaut dans l'autre sens. Si vous achetez un service à un éditeur américain, demander son rapport SOC 2 Type 2 est un bon réflexe de gestion des risques tiers, à condition de le lire et d'en tirer vos propres conclusions.

• Définir le périmètre. Quel service, quelles équipes, quelles catégories ? Partez des engagements de vos contrats.
• Choisir l'auditeur tôt. Seul un cabinet habilité selon les normes de l'AICPA peut émettre le rapport. En pratique, un cabinet américain ou l'entité américaine d'un réseau international.
• Faire un état des lieux. Comparez vos pratiques aux critères communs. Si vous avez un SMSI ISO 27001, la correspondance de l'AICPA accélère l'exercice.
• Produire des preuves au fil de l'eau. Le Type 2 se joue sur la période : revues d'accès, tickets de changement, tests de restauration doivent laisser une trace datée.
• Commencer par un Type 1 si besoin, puis lancer la période d'observation du Type 2.
• Prévoir le renouvellement, pour que les rapports s'enchaînent sans trou de couverture.

Tenir à jour plusieurs référentiels qui se recoupent est le vrai coût de ce type de démarche. Un logiciel ISO 27001 qui relie les référentiels entre eux évite d'évaluer deux fois la même mesure.