Certification SOC 2 : pourquoi les meilleures solutions SaaS ne rédigent pas leur propre bulletin

Article rédigé par Dan Whitty, Senior Information Security Manager chez Award Force.

N’importe quelle solution logicielle peut dire qu’elle prend la sécurité au sérieux. Mais une certification SOC 2 signifie qu’un auditeur indépendant réputé examine des mois de preuves pour vérifier que c’est réellement le cas.

La présélection des solutions peut parfois se jouer sur un seul élément différenciateur. Deux finalistes ont tous deux des sites web soignés. Tous deux affirment que leur sécurité est de niveau entreprise. Tous deux utilisent des termes comme « robuste » et « de classe mondiale ». L’un d’eux, il s’avère, a écrit ces mots à son propre sujet. L’autre a fait appel à un auditeur indépendant, quelqu’un qui n’avait aucun intérêt dans le résultat, et qui a passé des mois à chercher des failles dans son système avant d’arriver à la même conclusion.

À quelle solution confieriez-vous les données de vos candidats ? C’est, en substance, l’objet de la certification SOC 2… le vieil adage en matière de sécurité : faire confiance, mais vérifier.

Alors, que signifie réellement SOC 2 ?

SOC signifie System and Organization Controls, un cadre développé par l’American Institute of Certified Public Accountants (AICPA).

SOC 2 est la version conçue spécifiquement pour les entreprises technologiques et de services cloud, et elle se concentre sur la manière dont une solution gère la sécurité des données qu’elle détient pour le compte de ses clients.

Pour la gestion de trophées, ces données sont importantes : noms et coordonnées des candidats, informations financières, scores d’évaluation, notes des évaluateurs, décisions de trophées. Ce sont des données que les services SaaS ont le devoir de protéger.

SOC 2 Type 1 vs Type 2 : la différence entre une promesse et un historique

C’est là que de nombreux prospects se trompent, et c’est une distinction importante.

• Un rapport SOC 2 Type 1 indique : à un moment précis, cette solution disposait des contrôles appropriés. Voyez cela comme un inspecteur qui visite la cuisine d’un restaurant un après-midi et confirme que l’équipement était propre et que les aliments étaient correctement stockés.
• Un rapport SOC 2 Type 2 indique : sur une période prolongée, généralement de six à douze mois, un auditeur a constaté que ces contrôles fonctionnaient effectivement de manière constante, en pratique.

Le Type 2 est le plus rigoureux des deux, et celui que la plupart des clients s’attendront à voir. C’est la différence entre une solution qui a construit un système sécurisé et une solution qui a démontré qu’elle exploite un système sécurisé, jour après jour, sous le contrôle d’un tiers indépendant.

Que rechercher dans une solution certifiée SOC 2

Si vous évaluez un logiciel de gestion de trophées, voici quelques questions qu’il vaut la peine de poser à tout fournisseur qui affirme être conforme à SOC 2 :

• S’agit-il d’un Type 1 ou d’un Type 2 ? Le Type 2 est la norme la plus exigeante. Si un fournisseur n’a que le Type 1, demandez quand il prévoit de finaliser le Type 2.
• De quand date le rapport ? Les audits SOC 2 sont généralement renouvelés chaque année. Un audit datant de plusieurs années vous en dit moins sur l’état actuel de la solution.
• Pouvez-vous partager le rapport ? Un fournisseur crédible devrait être disposé à fournir son rapport SOC 2, ou au minimum un résumé, aux prospects sérieux. S’il hésite, c’est en soi un signal.

Award Force et SOC 2

Nous avons déjà rendu notre bulletin une première fois, et nous sommes actuellement « en train de repasser l’examen ». Award Force est certifiée SOC 2 Type 2 et, au moment où nous écrivons ces lignes, notre deuxième audit est en cours. Parce qu’une seule évaluation indépendante ne nous aurait jamais suffi.

Consultez notre centre de sécurité pour en savoir plus.