Dois-je obtenir un rapport de type 1 ou de type 2?

Habituellement de type 2. C’est la norme d’approvisionnement des grandes entreprises, parce qu’il met à l’épreuve l’efficacité du fonctionnement sur une période plutôt que la conception à un moment précis. Le type 1 sert à des fins intérimaires, par exemple lorsqu’un acheteur a besoin de preuves rapidement pendant qu’une période d’observation de type 2 est encore en cours.

Combien de temps dure un audit SOC 2?

La seule période d’observation de type 2 s’étend habituellement sur 6 à 12 mois, parce que le rapport porte sur une période. Recueillir les preuves en continu plutôt que de se précipiter avant l’audit accélère la préparation et raccourcit le chemin vers un rapport sans réserve.

SOC 2 et ISO 27001 partagent-ils des preuves?

Oui. Les contrôles de SOC 2 et d’ISO 27001 s’alignent en grande partie, de sorte qu’un seul ensemble de preuves peut appuyer les deux. Les organisations qui visent les deux peuvent réutiliser une grande partie des mêmes preuves de contrôle plutôt que de bâtir deux programmes distincts.

Qui peut délivrer un rapport SOC 2?

Seul un cabinet de CPA agréé par l’AICPA peut délivrer le rapport. Lavawall® ne délivre pas de rapports SOC 2; il fournit la documentation à l’appui et les preuves continues sur lesquelles l’auditeur s’appuie.

Glossaire de conformité

Qu’est-ce que SOC 2?

SOC 2 (System and Organization Controls 2) est un rapport d’attestation délivré par un auditeur indépendant agréé par l’AICPA, qui évalue les contrôles d’une organisation par rapport aux critères des services de confiance (Trust Services Criteria).

Cartographiez vos contrôles SOC 2 Voir les composantes

En une phrase : SOC 2 n’est pas une certification, mais le rapport d’un auditeur indépendant sur l’efficacité avec laquelle les contrôles d’une organisation protègent les données des clients par rapport aux critères des services de confiance.

Définition

SOC 2 fonctionne sous la gouvernance de l’AICPA comme un cadre d’audit qui évalue les contrôles d’une organisation selon les critères des services de confiance. La catégorie Sécurité est obligatoire, et quatre autres catégories sont facultatives : disponibilité, intégrité du traitement, confidentialité et protection de la vie privée.

Il existe deux types d’audit. Un rapport de type 1 évalue la conception des contrôles à un moment précis. Un rapport de type 2 évalue à la fois la conception et l’efficacité du fonctionnement de ces contrôles sur une période, habituellement de 6 à 12 mois.

Composantes principales

Critères des services de confiance. Le cadre selon lequel l’auditeur évalue, la sécurité étant obligatoire et la disponibilité, l’intégrité du traitement, la confidentialité et la protection de la vie privée étant facultatives.
Critères communs (CC1 à CC9). Les contrôles de sécurité obligatoires que tout mandat SOC 2 doit couvrir.
Type 1 et type 2. Le type 1 est une évaluation de la conception des contrôles à un moment précis. Le type 2 ajoute l’efficacité du fonctionnement, mesurée sur une période d’observation.
Période d’audit. La période d’observation du type 2, habituellement de 6 à 12 mois.
Cabinet de CPA agréé par l’AICPA. Seul un cabinet agréé peut réaliser le mandat et délivrer le rapport.
Rapport à usage restreint. Le rapport SOC 2 est distribué sous usage restreint plutôt que publié ouvertement.

Pourquoi c’est important

SOC 2 est le rapport que les acheteurs technologiques nord-américains demandent le plus souvent lors de l’approvisionnement et de la vérification diligente des fournisseurs. Un rapport de type 2 à jour fait souvent la différence entre réussir une revue de sécurité et voir une vente s’enliser.

Pour les FSG et les équipes TI réduites, la préparation à SOC 2 est à la fois une exigence interne et un service qu’ils peuvent offrir aux clients dont les propres clients réclament le rapport.

Comment Lavawall® vous aide avec SOC 2

Lavawall® intègre SOC 2 comme cadre de première classe. Les critères des services de confiance correspondent aux preuves en direct recueillies sur les postes Windows, macOS et Linux et sur les locataires M365, Entra, Azure et Google Workspace, de sorte que les contrôles techniques sous-jacents aux critères communs sont prouvés en continu plutôt que rassemblés à la hâte avant l’audit.

La collecte continue transforme la période d’observation du type 2 d’une course contre la montre en un flux régulier de preuves. Lavawall® ne délivre pas le rapport, car cela exige un cabinet agréé par l’AICPA, mais il fournit la documentation à l’appui et les preuves sur lesquelles l’auditeur s’appuie, sous une forme en marque partagée que le FSG peut remettre au client.

Commencez la cartographie des preuves SOC 2 →

Questions fréquentes

Dois-je obtenir un rapport de type 1 ou de type 2?: Habituellement de type 2. C’est la norme d’approvisionnement des grandes entreprises, parce qu’il met à l’épreuve l’efficacité du fonctionnement sur une période plutôt que la conception à un moment précis. Le type 1 sert à des fins intérimaires, par exemple lorsqu’un acheteur a besoin de preuves rapidement pendant qu’une période d’observation de type 2 est encore en cours.
Combien de temps dure un audit SOC 2?: La seule période d’observation de type 2 s’étend habituellement sur 6 à 12 mois, parce que le rapport porte sur une période. Recueillir les preuves en continu plutôt que de se précipiter avant l’audit accélère la préparation et raccourcit le chemin vers un rapport sans réserve.
SOC 2 et ISO 27001 partagent-ils des preuves?: Oui. Les contrôles de SOC 2 et d’ISO 27001 s’alignent en grande partie, de sorte qu’un seul ensemble de preuves peut appuyer les deux. Les organisations qui visent les deux peuvent réutiliser une grande partie des mêmes preuves de contrôle plutôt que de bâtir deux programmes distincts.
Qui peut délivrer un rapport SOC 2?: Seul un cabinet de CPA agréé par l’AICPA peut délivrer le rapport. Lavawall® ne délivre pas de rapports SOC 2; il fournit la documentation à l’appui et les preuves continues sur lesquelles l’auditeur s’appuie.