02 / Conformité et certification
SOC 2, prêt avant que l'auditeur ne demande le premier échantillon
Nous vous aidons à délimiter l'examen, à concevoir des contrôles alignés sur les Trust Services Criteria et à réunir des preuves solides, pour que le cabinet CPA examine un système qui tourne déjà.
Présentation
Ce qu'est un rapport SOC 2
Un rapport SOC 2 est un rapport d'attestation sur les contrôles d'une organisation de services, examinés au regard des Trust Services Criteria de l'AICPA. La sécurité est toujours incluse. Disponibilité, intégrité du traitement, confidentialité et vie privée s'y ajoutent lorsqu'elles comptent pour vos clients.
Un rapport de type 1 porte sur la description de votre système et sur la conception adéquate des contrôles à une date donnée. Un rapport de type 2 vérifie en plus leur efficacité opérationnelle sur une période, ce qui suppose des preuves pour toute la période, pas seulement pour la semaine qui précède les travaux.
Le rapport est émis par un cabinet CPA habilité, c'est-à-dire un cabinet d'expertise comptable soumis à la réglementation professionnelle américaine. Black Fox n'en est pas un. Nous faisons le travail en amont : préparation, analyse d'écarts, conception des contrôles et préparation des preuves, pour que l'examen trouve un système et non un chantier. Nous travaillons avec des cabinets partenaires de longue date et coordonnons l'examen avec eux ou avec un cabinet CPA de votre choix, pour que vous alliez de la préparation au rapport dans une seule mission.
À qui s'adresse ce service
Les prestataires de services, le plus souvent SaaS et cloud, dont les clients exigent un rapport SOC 2 dans leurs revues de sécurité ou leurs contrats, et les équipes qui préparent un premier type 1 ou passent du type 1 au type 2.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Périmètre
Nous vous aidons à choisir les limites du système, les catégories de critères et le type de rapport, selon ce que vos clients demandent réellement.
Évaluation de préparation
Une revue de vos contrôles au regard des Trust Services Criteria, avec des écarts classés par risque et par effort.
Conception des contrôles
Des contrôles qu'un auditeur peut tester : un responsable, une fréquence, une description claire et les preuves qu'ils laissent.
Description du système
Un appui pour rédiger la description de votre système, de ses limites, de ses sous-traitants et des contrôles que vous attendez de vos clients.
Préparation des preuves
La liste de ce que l'auditeur demandera et d'où cela vient, avec revues d'accès, traces de changements et preuves similaires collectées au fil de l'eau.
Vérifications techniques
Si utile, des tests d'intrusion, des revues d'accès et des revues de vulnérabilités qui alimentent vos contrôles avec des résultats réels.
Déroulement de la mission
Lancement
Nous convenons du système concerné, des interlocuteurs et de la date visée pour le rapport, et signons d'abord un accord de confidentialité si vous le souhaitez.
Évaluation de préparation
Entretiens, revue documentaire et échantillonnage, avec à la clé un rapport priorisé.
Conception et remédiation
Nous comblons les écarts avec vos responsables et rédigeons des contrôles testables.
Répétition
Nous échantillonnons les preuves comme le ferait un auditeur et vous disons ce qui ne tiendrait pas.
Examen
Nous coordonnons l'examen avec l'un de nos cabinets partenaires de longue date ou le cabinet CPA de votre choix, et vous aidons à répondre aux demandes et à traiter les exceptions pendant les travaux.
Ce que vous recevez
- Note de cadrage : limites du système, critères et type de rapport
- Rapport de préparation et plan d'action priorisé
- Matrice des contrôles rattachée aux Trust Services Criteria
- Éléments pour la description du système
- Liste des preuves attendues avec responsables et sources
- Constats de la répétition avant l'examen
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Black Fox peut-il émettre notre rapport SOC 2 ?
Non. Les rapports SOC 2 sont émis par des cabinets CPA habilités, selon les normes d'attestation de l'AICPA, indépendamment de notre travail de préparation. Nous vous préparons, coordonnons l'examen avec l'un de nos cabinets partenaires de longue date ou un cabinet de votre choix, et vous accompagnons pendant celui-ci.
Type 1 ou type 2 ?
Le type 1 porte sur la conception des contrôles à une date donnée. Le type 2 couvre aussi leur efficacité sur une période. Beaucoup commencent par le type 1 puis passent au type 2, mais c'est ce que vos clients acceptent qui doit décider.
De quels Trust Services Criteria avons-nous besoin ?
La sécurité est toujours incluse. Ajoutez disponibilité, intégrité du traitement, confidentialité ou vie privée lorsque vos engagements envers vos clients en dépendent. Plus de catégories, c'est plus de contrôles à prouver.
SOC 2, est-ce la même chose que l'ISO/IEC 27001 ?
Non. L'ISO/IEC 27001 est la certification d'un système de management. Le SOC 2 est un rapport d'attestation sur des contrôles. Les deux se recoupent largement, et un même ensemble de contrôles peut souvent servir aux deux.
Services associés
- Conformité et certificationSOC 1SOC 1 avec Black Fox Security : objectifs de contrôle, contrôles généraux informatiques, analyse d'écarts, conception des contrôles et preuves pour votre cabinet CPA.
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Sécurité managéeConformité continueConformité continue avec Black Fox Security : calendrier des preuves, audits internes, tests de contrôles, revue des politiques, audits de surveillance.
- Sécurité managéeRevues des accèsRevues des accès par Black Fox Security : comptes utilisateurs et privilégiés, annuaires, cloud et applications clés, arrivées et départs, preuves d'audit.
Sachez à quelle distance vous êtes d'un examen sans surprise
Dites-nous ce que vos clients demandent et pour quand. Nous vous montrerons ce qui vous sépare du rapport.