Qu'est-ce qu'un rapport SOC et comment est-il utilisé ?
Lescontrôles SOC(System and Organization Controls) sont un ensemble de normes de contrôle informatique élaborées par l'American Institute of Certified Public Accountants (AICPA). Des auditeurs certifiés réalisent des audits SOC et utilisent des rapports pour démontrer la mise en œuvre de contrôles informatiques qui sécurisent les systèmes et les informations d'une entreprise.
Les audits SOC sont conçus pour évaluer les contrôles dans cinq domaines clés, appelés critères de services de confiance:
- Sécurité
- Confidentialité
- Intégrité du traitement
- Disponibilité
- Vie privée
Les rapports SOC fournissent des évaluations détaillées des opérations et des systèmes d'une organisation, ainsi que de leur efficacité. Il existe deux types de rapports SOC :
Rapports SOC 2 Type 1
Les rapports de type 1 examinent la conception des contrôles de sécurité, y compris les procédures et les processus. Les audits de type 1 sont réalisés à un moment donné.
Rapports SOC 2 Type 2
Les rapports de type 2 examinent l'efficacité opérationnelle des contrôles identifiés dans les rapports de type 1. Les audits de type 2 examinent les contrôles de manière approfondie et sont menés par des auditeurs sur une période plus longue, pouvant parfois aller jusqu'à six mois.
Cet article se concentre sur les rapports SOC 2 de type 2.
Que contiennent les rapports SOC 2 ?
Bien que les rapports SOC 2 puissent varier en fonction de l'auditeur chargé de l'évaluation, ils comprennent généralement les éléments suivants destinés à identifier la portée de l'évaluation et les non-conformités, appelées « exceptions de contrôle ».
- Résumé exécutif ou résumé de l'auditeur : comprend un aperçu des résultats de l'audit, la manière dont l'auditeur a mené l'audit et certaines indications permettant de déterminer si les conclusions sont plus ou moins pertinentes.
- Aperçu des opérations, processus et systèmes organisationnels : examine l'organisation et ses objectifs d'audit.
- Portée du rapport : examine les cinq critères des services de confiance et les contrôles connexes relevant du champ d'application de l'audit. Parfois, les organisations choisissent de se concentrer uniquement sur un ou deux critères des services de confiance plutôt que sur les cinq, en particulier si certains critères ne s'appliquent pas à elles.
- Activités de contrôle et évaluation des auditeurs : fournit une analyse approfondie de la liste détaillée des contrôles, y compris les tests effectués et leurs résultats.
- Réponse de la direction : Note les exceptions et fournit une réponse détaillant la manière dont l'organisation prévoit de gérer les exceptions.
Que comprennent les critères des services fiduciaires ?
Dans un rapport SOC 2, les critères de sécurité des services de confiance sont toujours applicables, mais la plupart des rapports SOC 2 ne comprennent qu'un ou deux critères supplémentaires.
- Sécurité : contrôles visant à protéger contre les accès non autorisés, la divulgation d'informations et les dommages causés aux systèmes. Vise à déterminer si l'entreprise dispose d'un cadre de sécurité et de contrôles sur les accès logiques et physiques.
- Confidentialité : contrôles visant à identifier, gérer et éliminer/détruire les informations confidentielles (hors informations personnelles).
- Intégrité du traitement : contrôles visant à garantir que le traitement du système est précis, opportun et valide.
- Disponibilité : contrôles visant à garantir que les informations et les systèmes sont disponibles et accessibles à tout moment.
- Confidentialité : contrôles visant à protéger les informations personnelles identifiables (PII).
Pourquoi utiliser un rapport SOC 2 ?
Les entreprises utilisent les rapports SOC 2 lorsqu'elles :
- Ne souhaitent pas ou ne sont pas en mesure de réaliser eux-mêmes des évaluations complètes des contrôles informatiques, telles que celles prévues par le NIST ou l'ISO, mais doivent néanmoins démontrer l'efficacité de leurs contrôles.
- Utilisez une norme bien comprise et exhaustive.
- Ayez la possibilité de vous concentrer sur un ensemble complet de contrôles ou seulement sur un sous-ensemble.
Comment interpréter les risques dans un rapport SOC 2 ?
Un rapport SOC 2 type identifie les risques comme des « résultats de test ». Un tableau d'exceptions SOC 2 type se présente comme suit :
- Le numéro de contrôle est un code permettant de suivre chaque contrôle tout au long de son cycle de vie.
- Les critères sont des descriptions des contrôles tels qu'ils ont été testés.
- L'activité de contrôle explique comment l'entreprise gère actuellement ce contrôle.
- Le test d'efficacité opérationnelle explique comment l'auditeur a inspecté le contrôle et quelles procédures ont été suivies.
- Les résultats des tests indiquent s'il y a eu une exception et quelle était l'écart.
Il n'y a pas de classification des risques dans un rapport SOC 2, comme par exemple des indicateurs rouges/orange/verts pour signaler les défaillances en matière de risques. C'est là qu'une plateforme tierce de gestion des risques peut vous aider !
Comment cartographier les exceptions de contrôle SOC 2 afin de pouvoir gérer de manière centralisée les risques associés ?
Il peut être difficile de traduire les exceptions de contrôle SOC 2 ou les résultats des tests en risques sans disposer d'un moyen de suivre de manière centralisée les risques liés aux tiers.
Nous recommandons d'appliquer une méthodologie fondée sur la « probabilité et l'impact » pour attribuer des notes de risque à toutes les exceptions identifiées.
- La probabilité estime la probabilité qu'une défaillance du contrôle d'un tiers ait un impact sur les opérations de votre organisation.
- L'impact évalue le niveau de perturbation qu'un échec du contrôle aurait sur les opérations de votre organisation.
À l'aide d'une échelle simple de 0 à 5, où 0 signifie aucune probabilité ou aucun impact et 5 signifie une probabilité ou un impact élevé, vous pouvez créer une carte thermique pour évaluer et classer rapidement les risques.
Une fois les risques classés dans la carte thermique, vous pouvez définir la responsabilité des risques, attribuer des tâches et collaborer avec le tiers pour le traitement et la correction des risques.*
*N'oubliez pas que le tiers peut avoir déjà traité les conclusions dans la section « Réponse de la direction » du rapport SOC 2.
Comment simplifier le processus de suivi et de correction des risques SOC 2 ?
Commencez par élaborer un guide pour remédier aux exceptions SOC 2 en vous basant sur :
- Exigences minimales/obligatoires : identifier ce qui est absolument requis des tiers. S'il existe une exception dans un domaine, le tiers est tenu d'y remédier.
- Meilleures pratiques : Intégrez les attentes de votre entreprise quant à la manière dont une exception en matière de risque ou de contrôle doit être corrigée, en vous basant sur les meilleures pratiques du secteur.
- Calendriers : Fixez des délais en fonction de la gravité des risques.
- Décisions ou mesures qui en découlent : définissez ce qu'il advient des risques corrigés. Allez-vous accepter la correction et abaisser la note de risque en fonction de l'appétit pour le risque de votre entreprise, ou allez-vous clôturer le risque sans autre mesure ?
Indiquez clairement vos exigences. Si vous souhaitez obtenir des preuves supplémentaires, précisez quand vous en avez besoin. Confirmez également si vous avez besoin d'un suivi continu ou d'une correction.
Tirez parti des registres de risques existants pour cartographier ces exceptions de contrôle dans ce que vous avez déjà. Cette approche vous aide à croiser les résultats des rapports de conformité avec d'autres cadres.
La gestion des risques liés aux tiers, qu'ils aient été identifiés ou non dans un rapport SOC 2, est impossible sans une plateforme centrale qui automatise l'identification, l'évaluation, le triage, la surveillance et la correction des risques. C'est là que Prevalent peut vous aider !
Premiers pas avec SOC 2 Gestion des risques liés aux tiers
Prevalent peut vous aider à simplifier la gestion des risques liés aux tiers SOC 2 grâce à des solutions et à des professionnels possédant une expertise en matière de conformité SOC 2. Service d'analyse des exceptions SOC 2 de Prevalent :
- Examine un rapport SOC 2 complet soumis par votre fournisseur à la place d'une évaluation. Cela permet à votre équipe de gagner du temps, car elle n'a plus besoin d'examiner le long rapport d'audit de chaque fournisseur.
- Mène un bref entretien contextuel afin de comprendre les besoins du chef d'entreprise par rapport au rapport SOC 2 soumis par le fournisseur.
- Résume les principales conclusions et recommandations en fonction de la portée du service, du rapport SOC 2 et de chaque domaine, dans un format cohérent et facile à comprendre. Cela permet à votre équipe de bénéficier des conseils avisés des experts en sécurité informatique et en gestion des risques au moment opportun.
- Identifie tout critère de contrôle manquant jugé approprié. Dans le cadre de l'analyse des exceptions, nos experts identifient tous les contrôles qui devraient être inclus dans le rapport SOC 2 et qui ne le sont pas actuellement. Cela vous aidera à combler les lacunes en matière de contrôle.
- Donne des conseils sur la pertinence de la norme SOC 2 et guide les mesures correctives à prendre. Les conseils en matière de remédiation et de pertinence améliorent la sécurité et contribuent à protéger contre les risques de sécurité liés aux tiers.
- Mappez les critères de contrôle SOC 2 à SIG Lite ou au Prevalent Compliance Framework (PCF) afin de permettre à votre équipe de gestion des risques fournisseurs d'adopter une approche cohérente pour évaluer les risques de sécurité liés à la collaboration avec le fournisseur.
Prêt à commencer ?
Pour en savoir plus sur le service d'analyse des exceptions SOC 2 de Prevalent, téléchargez la fiche technique ou demandez une démonstration pour planifier dès aujourd'hui une discussion stratégique !
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
