SOC 3 (rapport public de confiance)

Définition

Le rapport SOC 3 est une version allégée et destinée à une diffusion publique du rapport SOC 2, élaborée selon le référentiel de l'American Institute of Certified Public Accountants, permettant à un prestataire de services de communiquer publiquement, notamment sur son site web ou dans ses supports commerciaux, l'existence d'une évaluation indépendante favorable de ses contrôles au regard des critères de confiance retenus, sans pour autant divulguer le détail technique complet des contrôles testés et des résultats d'audit, réservés au rapport SOC 2 complet transmis sous accord de confidentialité aux clients et prospects qui en font la demande. Cette version publique répond à un besoin commercial concret : le rapport SOC 2 détaillé contient des informations sensibles sur l'architecture de sécurité du prestataire qui ne doivent pas être diffusées largement, tandis que le rapport SOC 3 permet néanmoins de valoriser publiquement l'obtention d'une certification de confiance reconnue, utile notamment dans les phases commerciales amont avant qu'une relation contractuelle formelle ne justifie le partage du rapport complet. Un prestataire disposant à la fois d'un rapport SOC 2 de type II et de sa version publique SOC 3 dispose ainsi de deux outils complémentaires : le premier pour rassurer précisément ses clients existants ou en cours de qualification, le second pour communiquer plus largement sur sa posture de sécurité auprès d'un public non spécialisé.