Référentiel
SOC 2 (Trust Services Criteria)
De quoi il s'agit
Le référentiel de l'AICPA pour la production de rapports sur les contrôles d'une organisation de services au regard des Trust Services Criteria : Sécurité (toujours incluse), complétée au choix par la Disponibilité, la Confidentialité, l'Intégrité des traitements et la Protection de la vie privée.
À qui il s'adresse
Les organisations de services, en particulier les éditeurs de logiciels et les entreprises cloud, dont les clients ont besoin d'une assurance avant de leur confier des données. Il s'agit d'une attente du marché, principalement de la part de clients américains, et non d'une exigence légale.
Comment l'évaluation est réalisée
Un cabinet CPA agréé examine les contrôles et émet un rapport : le type I porte sur la conception à une date donnée, le type II porte sur l'efficacité opérationnelle sur une période généralement comprise entre 3 et 12 mois. Il n'existe pas de certificat. Voir comment obtenir un rapport SOC 2.
Lire le guide : Comment obtenir un rapport SOC 2 →
61
Critères
41
Mis en correspondance avec un autre référentiel
92%
Sujets couverts (46/50)
Les correspondances SOC 2 publiées par l'AICPA ne sont pas sous licence ouverte ; chaque lien SOC 2 présenté ici relève donc de la rédaction de ControlMapping, et les critères que nous n'avons pas cartographiés ne peuvent pas être mis en correspondance. Les critères d'intégrité des traitements (PI) et la plupart des critères de confidentialité (P) n'ont pas d'équivalent dans les référentiels de sécurité.
Comparaisons
Exigences
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
| ID | Exigence | Sujets | Mis en correspondance dans |
|---|---|---|---|
| A1 Availability · 3 | |||
| A1.1 | Capacity management to meet availability commitments | Continuité des activités | 8 sur 13 |
| A1.2 | Environmental protections, backups and recovery infrastructure | Sauvegarde et restauration, Continuité des activités, Reprise après sinistre | 11 sur 13 |
| A1.3 | Testing recovery plan procedures | Planification de la reprise, Reprise après sinistre | 10 sur 13 |
| C1 Confidentiality · 2 | |||
| C1.1 | Identifying and protecting confidential information | Classification des données | 9 sur 13 |
| C1.2 | Disposing of confidential information | Protection des données | 11 sur 13 |
| CC1 Control environment · 5 | |||
| CC1.1 | Commitment to integrity and ethical values | Politique de gouvernance | 9 sur 13 |
| CC1.2 | Board independence and oversight of internal control | Rôles et responsabilités | 9 sur 13 |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Rôles et responsabilités | 9 sur 13 |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Sensibilisation et formation | 10 sur 13 |
| CC1.5 | Accountability for internal control responsibilities | Rôles et responsabilités | 9 sur 13 |
| CC2 Communication and information · 3 | |||
| CC2.1 | Quality information to support internal control | — | 1 sur 13 |
| CC2.2 | Internal communication of objectives and responsibilities | Sensibilisation et formation | 10 sur 13 |
| CC2.3 | Communication with external parties | Communication, Notification, Communication et rétablissement | 12 sur 13 |
| CC3 Risk assessment · 4 | |||
| CC3.1 | Objectives specified clearly enough to identify risks | Gestion des risques, Environnement métier | 10 sur 13 |
| CC3.2 | Risk identification and analysis | Évaluation des risques | 10 sur 13 |
| CC3.3 | Considering the potential for fraud | Évaluation des risques | 10 sur 13 |
| CC3.4 | Identifying and assessing significant changes | Évaluation des risques | 10 sur 13 |
| CC4 Monitoring activities · 2 | |||
| CC4.1 | Ongoing and/or separate evaluations of controls | Conformité | 10 sur 13 |
| CC4.2 | Communicating and remediating control deficiencies | Conformité | 10 sur 13 |
| CC5 Control activities · 3 | |||
| CC5.1 | Control activities that mitigate risks | Gestion des risques | 10 sur 13 |
| CC5.2 | General controls over technology | Configuration sécurisée | 9 sur 13 |
| CC5.3 | Control activities deployed through policies and procedures | Politique de gouvernance | 9 sur 13 |
| CC6 Logical and physical access · 8 | |||
| CC6.1 | Logical access security over information assets | Gestion des actifs, Contrôle d'accès, Authentification multifacteur, Chiffrement | 13 sur 13 |
| CC6.2 | User registration, authorization and removal | Contrôle d'accès | 11 sur 13 |
| CC6.3 | Role-based access, least privilege and segregation of duties | Contrôle d'accès, Accès privilégiés | 12 sur 13 |
| CC6.4 | Physical access restrictions | Sécurité physique | 8 sur 13 |
| CC6.5 | Protection of data when assets are disposed of | Protection des données | 11 sur 13 |
| CC6.6 | Protection against threats from outside system boundaries | Pare-feu / Segmentation réseau, Sécurité web, Zero Trust, WAF | 9 sur 13 |
| CC6.7 | Restricting transmission, movement and removal of information | Chiffrement, Sécurité mobile, DLP | 11 sur 13 |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Protection des terminaux, Sécurité de la messagerie | 10 sur 13 |
| CC7 System operations · 5 | |||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Gestion des vulnérabilités, Gestion des correctifs, Configuration sécurisée | 13 sur 13 |
| CC7.2 | Monitoring system components for anomalies | Surveillance continue, Journalisation et audit, Détection d'intrusion, Détection d'anomalies | 11 sur 13 |
| CC7.3 | Evaluating security events to determine if they are incidents | SIEM / SOC, Réponse aux incidents | 12 sur 13 |
| CC7.4 | Responding to identified security incidents | Réponse aux incidents, Criminalistique numérique, Atténuation | 12 sur 13 |
| CC7.5 | Recovering from identified security incidents | Planification de la reprise, Enseignements tirés, Communication et rétablissement | 11 sur 13 |
| CC8 Change management · 1 | |||
| CC8.1 | Change management for infrastructure, data and software | Développement sécurisé | 8 sur 13 |
| CC9 Risk mitigation · 2 | |||
| CC9.1 | Mitigating risks from business disruptions | Gestion des risques, Continuité des activités | 10 sur 13 |
| CC9.2 | Managing vendor and business partner risk | Risque lié à la chaîne d'approvisionnement, Sécurité du cloud, Gestion des risques fournisseurs | 12 sur 13 |
| P Privacy · 18 | |||
| P1.1 | Privacy notice | — | aucun |
| P2.1 | Choice and consent | — | aucun |
| P3.1 | Collection limited to privacy objectives | — | aucun |
| P3.2 | Explicit consent where required | — | aucun |
| P4.1 | Use limited to privacy objectives | — | aucun |
| P4.2 | Retention of personal information | — | 1 sur 13 |
| P4.3 | Disposal of personal information | — | 1 sur 13 |
| P5.1 | Data subject access | — | aucun |
| P5.2 | Correction of personal information | — | aucun |
| P6.1 | Disclosure to third parties with consent | — | aucun |
| P6.2 | Record of authorized disclosures | — | aucun |
| P6.3 | Record of unauthorized disclosures | — | aucun |
| P6.4 | Privacy commitments from third parties | — | aucun |
| P6.5 | Notification by third parties of unauthorized disclosures | — | aucun |
| P6.6 | Breach notification to affected individuals | — | 1 sur 13 |
| P6.7 | Accounting of disclosures to data subjects | — | aucun |
| P7.1 | Quality of personal information | — | aucun |
| P8.1 | Handling privacy inquiries, complaints and disputes | — | aucun |
| PI1 Processing integrity · 5 | |||
| PI1.1 | Information about processing objectives | — | aucun |
| PI1.2 | Controls over system inputs | — | aucun |
| PI1.3 | Controls over system processing | — | aucun |
| PI1.4 | Controls over system outputs | — | aucun |
| PI1.5 | Storing inputs, items in processing and outputs | — | aucun |
Couverture du sujet
Thèmes avec des exigences SOC 2 mappées (46) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRisque lié à la chaîne d'approvisionnementRôles et responsabilitésConformitéGestion des actifsÉvaluation des risquesEnvironnement métierClassification des donnéesGestion des vulnérabilitésContrôle d'accèsAuthentification multifacteurChiffrementProtection des donnéesSauvegarde et restaurationAccès privilégiésPare-feu / Segmentation réseauProtection des terminauxGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité mobileSécurité du cloudWAFDLPSurveillance continueJournalisation et auditDétection d'intrusionDétection d'anomaliesSIEM / SOCRéponse aux incidentsCriminalistique numériqueCommunicationAtténuationNotificationPlanification de la repriseContinuité des activitésEnseignements tirésCommunication et rétablissementReprise après sinistreGestion des risques fournisseursSécurité physique
Aucune correspondance dans nos données Aucune exigence SOC 2 (4) :