SOC 2 Type II (Rapport d'audit de sécurité des services)

Définition

SOC 2 (Service Organization Control 2) est un référentiel d'audit développé par l'AICPA (American Institute of Certified Public Accountants) évaluant la sécurité des prestataires de services qui stockent ou traitent des données clients. Contrairement à SOC 2 Type I qui évalue la conception des contrôles à un instant T, le SOC 2 Type II couvre une période d'observation (typiquement 6 à 12 mois) et vérifie l'efficacité opérationnelle des contrôles dans le temps. L'audit porte sur tout ou partie des cinq Trust Service Criteria (TSC) : sécurité (obligatoire), disponibilité, intégrité du traitement, confidentialité, et vie privée. Les contrôles évalués couvrent la gestion des accès logiques, la surveillance des systèmes, la gestion des changements, la réponse aux incidents, la gestion des risques fournisseurs, et la sécurité physique. Le rapport SOC 2 Type II est très demandé dans les relations B2B SaaS, notamment pour les contrats avec des entreprises américaines ou cotées en bourse. Sa réalisation nécessite généralement 6-18 mois de préparation et l'intervention d'un auditeur CPA accrédité.