Pourquoi « êtes-vous certifié SOC 2 ? » est la mauvaise question

Chaque questionnaire de sécurité semble la contenir : « Êtes-vous certifié SOC 2 ? » Les fournisseurs répondent « oui », joignent un PDF, et la case est cochée. Le problème est que la question ne veut pas dire ce que chacune des deux parties croit, et qu'une case cochée peut masquer précisément les risques que l'acheteur cherchait à identifier.

Il n'existe pas de certificat SOC 2

SOC 2 est une attestation, et non une certification. Un cabinet CPA agréé examine les contrôles d'une organisation de services au regard des Trust Services Criteria de l'AICPA et émet un rapport assorti de son opinion. Personne ne délivre de certificat, personne ne tient de registre des entreprises certifiées, et il n'existe aucun seuil de réussite. Comparez avec ISO 27001, pour laquelle un organisme de certification accrédité délivre bien un certificat, avec un périmètre défini, valable trois ans. (Notre comparaison ISO 27001 vs SOC 2 détaille les différences.)

Appeler un rapport SOC 2 un certificat n'est pas un simple pinaillage. Cela transforme un document détaillé et conditionnel en badge oui ou non, alors que les détails sont précisément là où se situe le risque.

Ce que peut masquer un « oui »

Un fournisseur peut dire en toute bonne foi qu'il dispose d'un rapport SOC 2 tout en :

• Le rapport est de Type I. Il montre que les contrôles étaient conçus et en place à une date donnée, et non qu'ils ont fonctionné dans la durée.
• Le périmètre exclut le service que vous achetez. Un rapport couvre un système décrit. Si vos données transitent par un produit ou une région situés hors de ce périmètre, le rapport n'en dit rien.
• La période est terminée depuis longtemps. Un rapport couvre une période passée. Un écart de plusieurs mois depuis sa fin signifie que personne n'a testé le fonctionnement récent.
• L'opinion est assortie de réserves, ou les résultats de tests font apparaître des exceptions qui vous concernent.
• Des contrôles clés sont exclus au profit d'un sous-traitant, comme l'hébergeur cloud, dont vous ne voyez jamais le rapport.
• Le rapport s'appuie sur des contrôles que vous devez mettre en œuvre vous-même, listés comme contrôles complémentaires à la charge des entités utilisatrices, et personne de votre côté n'en a connaissance.
• Seul le critère Security est couvert, alors que vous attendiez de la disponibilité, de la confidentialité ou de la protection de la vie privée.

Aucun de ces points ne rend un rapport sans valeur. Mais tous restent invisibles derrière le « oui ».

Ce que vaut un bon rapport SOC 2

Rien de tout cela n'est un argument contre SOC 2. Un rapport de Type II émis par un cabinet compétent est l'un des documents les plus utiles qu'un acheteur puisse obtenir. Des auditeurs indépendants ont échantillonné de véritables preuves pendant des mois : accès accordés et retirés, modifications approuvées, incidents traités, sauvegardes restaurées. Un questionnaire rempli par le personnel du fournisseur ne peut pas égaler cela, et une équipe sécurité qui lit correctement les rapports peut réduire fortement la part de son questionnaire à traiter.

La valeur réside dans le détail : quels contrôles ont été testés, comment, et avec quel résultat. Le raccourci fait disparaître ce détail. Demander si un fournisseur est « certifié » appelle un « oui » ; demander ce que couvre le rapport appelle les preuves.

De meilleures questions à poser

Remplacez « êtes-vous certifié SOC 2 ? » par des questions dont la réponse est utile :

1. Quel rapport possédez-vous : Type I ou Type II, et sur quelle période porte-t-il ?
2. La description du système inclut-elle le service et les régions que nous utiliserons ?
3. Quelles catégories des Trust Services Criteria sont dans le périmètre ?
4. Y a-t-il eu des exceptions ou une opinion avec réserves, et comment ont-elles été résolues ?
5. Quels sous-traitants sont exclus, et quels contrôles complémentaires à la charge des entités utilisatrices devons-nous mettre en œuvre ?

Lisez ensuite le rapport, au minimum l'opinion, la description du système, les exceptions et les contrôles à la charge des entités utilisatrices. Cela prend bien moins de temps que le questionnaire.

Le même principe vaut pour tous les référentiels

Ce schéma n'est pas propre à SOC 2. « Certifié ISO 27001 » dépend du périmètre du certificat ; « conforme à NIS2 » dépend du droit national et de procédures de notification qu'aucun certificat ne teste ; « aligné sur NIST CSF » peut signifier à peu près n'importe quoi, puisque CSF n'a aucune certification. Le nom d'un référentiel est le début de la conversation, pas la fin.

Si vous êtes du côté fournisseur, facilitez la tâche : indiquez d'emblée quel rapport, quelle période et quel périmètre sont concernés, et montrez comment vos contrôles correspondent aux référentiels utilisés par vos clients. Notre analyse d'écarts et la page du référentiel SOC 2 peuvent vous aider pour cette correspondance, et le guide SOC 2 explique comment les rapports sont produits.

Questions

Existe-t-il vraiment une certification SOC 2 ?

Non. Un rapport SOC 2 est une attestation : l'avis d'un cabinet CPA agréé sur les contrôles d'une organisation de services, au regard des Trust Services Criteria de l'AICPA. Aucun certificat n'est délivré.

Que dois-je lire en premier dans un rapport SOC 2 ?

L'avis de l'auditeur (est-il sans réserve ?), le périmètre et la description du système, la période couverte, les exceptions relevées dans les résultats de tests, et les contrôles complémentaires à la charge des entités utilisatrices que vous êtes censé mettre en œuvre.