Rapport SOC 2

Le rapport SOC 2 (System and Organization Controls 2) est le rapport par lequel un cabinet d'expertise comptable américain donne son opinion sur les contrôles d'un prestataire de services, au regard des Trust Services Criteria de l'American Institute of Certified Public Accountants (AICPA). Ces critères couvrent la sécurité, toujours incluse, et au choix la disponibilité, l'intégrité du traitement, la confidentialité et la protection de la vie privée. Le type I décrit les contrôles et juge leur conception à une date. Le type II teste leur fonctionnement sur une période, souvent de six à douze mois, et liste les exceptions trouvées. Pour un souscripteur, seul le type II prouve qu'un contrôle a tourné. Le rapport n'est pas une certification : ni note, ni seuil de réussite, et l'opinion peut porter des réserves. Il se lit à quatre endroits au moins. La période couverte d'abord, avec la lettre de liaison (bridge letter) qui comble le trou jusqu'à la date de cotation. Les exceptions ensuite. Puis les contrôles attendus du client (complementary user entity controls), où le prestataire écrit ce qu'il laisse à la charge de l'utilisateur, la MFA sur les comptes clients par exemple. Enfin les sous-traitants sortis du périmètre (carve-out), souvent l'hébergeur. Le marché cyber s'en sert dans deux situations. Quand l'assuré est un éditeur de logiciel en mode service, le souscripteur demande son SOC 2 comme preuve de premier rang, plus solide qu'un questionnaire signé. Quand l'assuré dépend d'un prestataire critique, le rapport du prestataire éclaire l'exposition de carence. La réserve tient à la méthode : l'auditeur teste par échantillon des contrôles que le prestataire a lui-même décrits. Les compromissions de chaîne logicielle de SolarWinds en 2020 et de Kaseya en 2021 ont rappelé qu'une mise à jour piégée passe sous ce genre de contrôle.