SOC 2 : prouver la confiance à vos clients
SOC 2 est une norme d'attestation de l'AICPA (American Institute of Certified Public Accountants) destinée aux prestataires de services qui traitent des données clients — en particulier les fournisseurs SaaS B2B et cloud. Le résultat n'est pas un certificat mais un rapport d'attestation que vous utilisez pour démontrer à vos clients que vos contrôles sont conçus de façon adéquate et fonctionnent efficacement. Cette page explique ce qu'est SOC 2, à qui il s'adresse (et à qui non), en quoi le Type I et le Type II diffèrent, et comment rester en permanence prêt pour l'audit avec Sightadel.
Qu'est-ce que SOC 2 ?
SOC 2 (System and Organization Controls 2) est un référentiel dans le cadre duquel un CPA agréé évalue les contrôles internes d'un prestataire de services. Il repose sur les Trust Services Criteria (TSC) :
- Security (Common Criteria) : le socle obligatoire de tout rapport SOC 2.
- Availability : disponibilité du service.
- Processing Integrity : traitement complet et exact.
- Confidentiality : protection des informations confidentielles.
- Privacy : traitement des données personnelles.
Vous choisissez quels critères, au-delà de Security qui est obligatoire, sont inclus dans le rapport — selon votre service et les attentes de vos clients. Le rapport finalisé est généralement partagé avec les clients et prospects sous accord de confidentialité.
À qui SOC 2 s'adresse-t-il — et à qui non ?
SOC 2 vous concerne si…
… vous êtes un prestataire de services qui traite ou héberge des données clients, et vos clients attendent une preuve indépendante de vos contrôles de sécurité. Cas typiques :
- fournisseurs SaaS B2B, en particulier ceux ayant des clients aux États-Unis ou à l'international,
- fournisseurs cloud et d'hébergement,
- fournisseurs pour lesquels SOC 2 apparaît régulièrement dans les appels d'offres et les questionnaires de sécurité.
Dans de nombreux processus de vente B2B, un rapport SOC 2 est désormais de fait un prérequis pour ne serait-ce qu'entrer dans la sélection finale.
SOC 2 n'est probablement pas une priorité pour vous si…
… vous ne traitez pas de données clients en tant que prestataire de services, ou vos clients n'exigent pas cette preuve. Dans des contextes purement nationaux où les clients attendent plutôt une certification ISO 27001 ou une attestation BSI C5, SOC 2 est souvent secondaire.
La nuance : SOC 2 est tiré par le marché, et non imposé par la loi. La question est donc rarement « Y suis-je obligé ? » mais « Mes clients cibles l'exigent-ils — et est-ce que je perds des contrats sans ce rapport ? »
Type I ou Type II — quelle différence ?
- SOC 2 Type I évalue si les contrôles sont conçus de façon adéquate à une date donnée. Plus rapide à obtenir, souvent une première étape.
- SOC 2 Type II évalue en outre si les contrôles ont fonctionné efficacement sur une période (souvent de 3 à 12 mois). Le Type II est plus probant et c'est ce que la plupart des clients souhaitent finalement voir.
Le défi typique de la préparation à SOC 2
- Preuves sur toute la période. Pour le Type II, l'efficacité doit être démontrée en continu — pas seulement le jour de l'audit. Les organisations qui ne commencent à collecter que peu de temps avant se retrouvent avec des lacunes.
- Preuves fragmentées. Revues d'accès, tickets de changement, dossiers d'intégration, journaux d'incidents — éparpillés dans de nombreux systèmes.
- Travail en double avec d'autres normes. Les organisations qui mettent déjà en œuvre ISO 27001 ou NIS2 en maintiennent une grande partie deux fois, faute de liens entre les preuves.
Comment Sightadel simplifie la préparation à SOC 2
Sightadel est le portail de conformité de la Pervigon Security Suite. Il représente les Trust Services Criteria sous la forme d'un catalogue structuré de contrôles auquel vous associez des mesures, des responsables et des preuves.
SOC 2 avec Sightadel en pratique
- Définir le périmètre.Quels Trust Services Criteria, au-delà de Security, doivent figurer dans le rapport ?
- Mettre en correspondance et combler les lacunes.Mettez en correspondance les contrôles existants, réalisez une analyse des écarts, établissez un plan d'action priorisé.
- Maintenir les preuves.Collectez les preuves en continu sur toute la période du Type II — de façon récurrente et traçable.
- Accompagner l'audit.Fournissez au CPA l'état requis de manière structurée.
Questions fréquentes sur SOC 2
La conformité SOC 2 comme un état, pas un projet annuel
Un rapport SOC 2 est une preuve récurrente sur une période. Sightadel maintient vos contrôles et vos preuves en permanence prêts pour l'audit — de sorte que chaque nouvelle période d'audit s'appuie sur un état maintenu plutôt que sur une course contre la montre.