Qu'est-ce que SOC 2 ?

Ce que cela couvre

System and Organization Controls (SOC) est une suite de services de rapports de l’AICPA, l’Institut américain des experts-comptables. Un rapport SOC 2 couvre les contrôles d’une organisation de services qui sont pertinents pour une ou plusieurs des cinq catégories de services de confiance : la sécurité, la disponibilité, l’intégrité du traitement, la confidentialité et la protection de la vie privée. La sécurité est la base, et les quatre autres s’ajoutent quand elles comptent pour le service.

L’AICPA décrit les missions SOC comme des services que les experts-comptables fournissent selon des normes professionnelles qu’il fixe. Le rapport est donc l’œuvre d’un auditeur indépendant, pas une déclaration du prestataire sur lui-même. Il contient l’opinion de l’auditeur, la description du système par la direction, les contrôles couverts et les résultats des tests, y compris les éventuelles exceptions.

Il en existe deux types. Un rapport de Type I examine si les contrôles étaient bien conçus à un instant donné. Un rapport de Type II teste en plus si les contrôles ont fonctionné efficacement sur une période déclarée, c’est pourquoi les acheteurs demandent en général le Type II.

Ce qui est exigé

Aucune loi n’exige un rapport SOC 2. Les entreprises l’obtiennent volontairement, généralement parce que les clients le demandent lors des revues de sécurité, et le cadre ne donne pas de note de réussite ou d’échec. Le rapport décrit ce qui a été examiné et ce que l’auditeur a constaté. « Certifié SOC 2 » est une expression courante mais approximative, car aucun certificat n’est délivré.

Ce que cela implique pour un agent vocal

Un agent vocal fait passer la voix, les noms, les données de compte et parfois des informations de santé ou de paiement des appelants par plusieurs systèmes. Un rapport SOC 2 est l’un des moyens les plus rapides de voir comment un prestataire gère le contrôle d’accès, la gestion des changements, la journalisation et la réponse aux incidents. En lisant un rapport, vérifiez ces points :

• Quel système et quels services sont couverts. Un rapport sur le tableau de bord web d’une entreprise peut ne pas couvrir son chemin audio en temps réel.
• La période testée, et si elle est récente. Un écart entre la fin de la période et aujourd’hui peut appeler une lettre de transition.
• Quelles catégories de services de confiance sont incluses. La sécurité seule dit peu de choses sur la confidentialité ou la vie privée.
• Les exceptions et l’opinion de l’auditeur, pas seulement la page de couverture.
• Si les sous-traitants du prestataire, comme un hébergeur cloud, sont exclus du rapport.
• Qui a signé le rapport. Un rapport vaut ce que vaut le cabinet qui l’a signé.

Un rapport SOC 2 est un élément de preuve, pas un substitut à d’autres obligations. Il ne remplace ni un accord de partenariat commercial au titre de HIPAA, ni un accord de traitement des données au titre du RGPD, ni une évaluation PCI lorsque des données de carte sont en jeu (PCI DSS). Il ne dit pas non plus combien de temps l’audio est conservé, ce qui relève d’un choix de configuration décrit sous conservation zéro des données. Pour une liste de contrôle d’achat, lisez le guide sur l’IA vocale sur site.

Questions à poser à un juriste

1. Un rapport SOC 2 suffit-il pour nos contrats clients, ou exigent-ils autre chose ?
2. Quelles catégories et quels services doivent être couverts pour notre cas d’usage ?
3. Que faire de la période entre la date de fin d’un rapport et notre date de mise en service ?
4. Comment traiter les exceptions notées par l’auditeur ?
5. Pouvons-nous partager le rapport du prestataire avec nos propres clients, et à quelles conditions ?

Termes liés

• HIPAA
• RGPD
• PCI DSS
• Conservation zéro des données

Guides

• IA vocale sur site : définition et fonctionnement

Sources

• AICPA and CIMA, System and Organization Controls (SOC) suite of services