Si vous êtes responsable de la sécurité des tiers, vous avez probablement déjà vu passer de nombreux rapports SOC 2.
Vous avez sans doute aussi remarqué que la plupart des intervenants, y compris lors des revues de prestataires, s’arrêtent à l’attestation de conformité. Certificat présent, case cochée, évaluation terminée.
Cette approche passe à côté de l’essentiel du contenu d’un rapport SOC 2.
Un rapport SOC 2 est un document technique et détaillé. L’attestation en première page prouve simplement qu’un audit a eu lieu. Tout le reste détaille ce que l’auditeur a réellement constaté — et c’est précisément là que réside l’information utile.
Voici comment analyser correctement un rapport SOC 2.
Qu’est-ce qu’un rapport SOC 2 et quels en sont les types ?
Le SOC 2 est un audit indépendant des dispositifs de contrôle d’un prestataire, réalisé au regard des Trust Services Criteria de l’AICPA. Il couvre cinq critères possibles : la sécurité (obligatoire), la disponibilité, l’intégrité du traitement, la confidentialité et la protection des données (privacy).
Il existe deux types de rapports :
- Type I : évalue si les contrôles sont convenablement conçus à un instant précis.
- Type II : évalue l’efficacité opérationnelle des contrôles sur une période donnée, généralement de 6 à 12 mois.
Pour évaluer la sécurité d’un fournisseur, le rapport de Type II est nettement plus probant. Le Type I atteste simplement de l’existence des contrôles. Le Type II prouve qu’ils ont effectivement fonctionné.
Un rapport SOC 2 couvre un périmètre spécifique, une période définie et des critères précis. Il est indispensable de bien appréhender ces trois dimensions avant d’interpréter le reste du document.
Section 1 : le rapport de l’auditeur indépendant
C’est ce que la plupart des lecteurs consultent : l’opinion de l’auditeur sur la conformité des contrôles du fournisseur aux Trust Services Criteria applicables.
Ce qu’il faut examiner :
Le type d’opinion. Une opinion sans réserve (« in our opinion… » ou unqualified opinion) indique que l’auditeur a jugé les contrôles convenablement conçus et opérationnels. Toute réserve formulée (« except for » ou « subject to ») signale des anomalies ou des limites que vous devez impérativement analyser.
La période couverte. Quelles sont les dates de début et de fin de l’audit ? Un rapport dont la période s’est achevée il y a huit mois offre bien moins de garanties sur la posture actuelle qu’un audit clôturé au trimestre précédent.
Les critères retenus. Quels sont les Trust Services Criteria intégrés ? La sécurité est toujours requise. En revanche, la disponibilité, la confidentialité ou la protection des données peuvent être absentes selon les choix du prestataire.
Section 2 : la description du système par le management
Cette section est fréquemment survolée, voire ignorée. C’est pourtant l’une des plus cruciales.
Rédigée par le prestataire lui-même, la description du système détaille le périmètre exact audité — non pas l’ensemble des activités de l’entreprise, mais spécifiquement ce qui a été soumis à l’examen de l’auditeur.
Les points d’attention :
- Les exclusions de périmètre. La description peut écarter explicitement certains produits, environnements techniques ou catégories de données. Si le service que vous utilisez ou vos données sont exclus du périmètre, le rapport SOC 2 ne couvre pas votre cas d’usage.
- L’infrastructure cloud. La description inclut-elle l’infrastructure d’hébergement du fournisseur ? S’il s’appuie sur AWS ou Azure, ces environnements sont-ils intégrés ou exclus de l’audit ?
- Les sous-traitants (subservice organizations). Cette section doit identifier les tiers dont les services font partie intégrante du système du fournisseur. Déterminez qui ils sont et si leurs contrôles sont audités (inclusive method) ou exclus (carve-out method).
Lisez attentivement cette section : c’est elle qui donne sa portée réelle à l’attestation finale.
Section 3 : les contrôles complémentaires de l’entité utilisatrice (CUEC)
Cette section est presque universellement ignorée. Elle revêt pourtant une importance capitale.
Les contrôles complémentaires de l’entité utilisatrice (CUEC, pour Complementary User Entity Controls) désignent les mesures que le rapport SOC 2 suppose mises en œuvre par vous, le client. L’opinion d’audit n’est valide que si ces contrôles sont effectifs de votre côté.
Parmi les CUEC habituels :
- Vous êtes responsable de la gestion des habilitations et de la révocation des accès lors du départ d’un collaborateur
- Vous devez chiffrer les données en transit entre votre infrastructure et celle du fournisseur
- Vous êtes tenu de notifier au fournisseur tout incident de sécurité survenant dans votre environnement
Si votre organisation n’applique pas les CUEC stipulés, le niveau de garantie fourni par le rapport SOC 2 est partiellement remis en cause. L’auditeur a testé les contrôles du fournisseur, mais a présumé que les vôtres fonctionnaient.
Cette section doit obligatoirement être lue à chaque évaluation.
Section 4 : les exceptions de contrôle dans les rapports SOC 2
C’est ici que se trouvent les éléments les plus immédiatement exploitables, et c’est la partie qui exige la lecture la plus méticuleuse.
Lorsqu’un contrôle ne fonctionne pas efficacement durant la période auditée, l’auditeur consigne une exception. Une exception n’est pas d’emblée rédhibitoire. Les auditeurs s’attendent à en identifier, et un rapport affichant des exceptions assorties d’un plan de remédiation solide démontre souvent plus de maturité et de transparence qu’un document sans aucune anomalie.
Ce qu’il faut analyser :
La nature de l’exception. S’agit-il d’un défaut de processus (une procédure non respectée de manière systématique), d’un problème de conception (le contrôle n’était pas dimensionné pour traiter un risque précis) ou d’une défaillance technique (un système n’a pas réagi comme prévu) ?
La fréquence. Une défaillance constatée sur un cas unique n’a pas la même gravité qu’un contrôle ayant échoué 30 fois au cours de l’échantillonnage.
La remédiation. Le fournisseur a-t-il pris acte de l’exception et documenté les actions correctives mises en place ? Une exception accompagnée d’une réponse claire et d’un correctif validé est bien plus rassurante qu’une anomalie laissée sans explication.
L’incidence sur votre cas d’usage. Toutes les exceptions n’ont pas le même impact selon les clients. Une faille dans le contrôle d’accès physique au centre de données a une portée différente selon que le prestataire héberge vos bases de données ou que votre intégration repose exclusivement sur des API managées.
Section 5 : les résultats des tests de contrôle
Le corps principal d’un rapport SOC 2 présente le détail de chaque contrôle : son intitulé, la modalité de test employée par l’auditeur et son résultat.
Vous n’avez pas besoin de lire l’intégralité des lignes pour chaque tiers. En revanche, pour vos prestataires stratégiques et pour les mesures clés relatives à votre activité, cette revue s’impose.
Les éléments révélateurs à repérer :
- Les contrôles marqués « non testé » ou « non applicable ». Si un volet de sécurité sensible pour votre organisation (chiffrement, gestion des accès, gestion des incidents) comporte des contrôles non audités, cherchez-en la justification.
- Les méthodes de test. Certains contrôles sont validés sur simple déclaration ou entretien (« inquiry » : l’auditeur interroge l’équipe et prend note). D’autres sont vérifiés par inspection (« inspection » de pièces justificatives ou de configurations) ou observation directe (« observation »). Une vérification par simple entretien offre un niveau de confiance bien moindre qu’une inspection ou une observation.
- La cohérence entre la description du système et les tests réels. Si la description de l’architecture mentionne un contrôle qui n’apparaît nulle part dans les tableaux de tests, le décalage doit être clarifié.
Ce qu’un rapport SOC 2 ne vous dira pas
Même minutieusement étudié, un rapport SOC 2 comporte des limites intrinsèques à garder en tête.
Il est rétrospectif. La période d’audit s’est achevée à une date passée. Tout événement survenu après cette date (nouvelles vulnérabilités, refonte d’infrastructure, rotation de personnel, failles de sécurité) n’apparaît pas dans le rapport.
Son périmètre est restreint. Tout ce qui est situé hors périmètre n’est pas couvert. L’attestation ne fournit aucune garantie sur les composants ou filiales du prestataire qui n’ont pas été inclus dans l’audit.
Il est ponctuel. L’audit SOC 2 est généralement annuel. Des contrôles efficaces pendant la période d’évaluation peuvent ne plus l’être aujourd’hui.
Il repose sur une auto-déclaration. La description du système émane du fournisseur, non de l’auditeur. Ce dernier teste les contrôles déclarés, mais ne vérifie pas de manière exhaustive toutes les déclarations contextuelles fournies par le prestataire.
Le rapport SOC 2 reste l’un des instruments les plus complets pour évaluer la sécurité d’un tiers. C’est toutefois un point de départ, pas l’aboutissement de la démarche.
Comment l’exploiter en pratique
Pour vos tiers critiques, une analyse méthodique du rapport SOC 2 s’articule ainsi :
- Confirmer qu’il s’agit d’un rapport Type II couvrant au minimum le critère Sécurité
- Vérifier la date de fin de la période d’audit : est-elle suffisamment récente ?
- Examiner la description du système : votre solution et votre cas d’usage font-ils bien partie du périmètre ?
- Lire attentivement les CUEC : quelles sont les mesures de sécurité que vous êtes censé appliquer chez vous ?
- Passer en revue les exceptions : existe-t-il des anomalies notables en lien direct avec votre utilisation ?
- Consulter les résultats des tests d’audit sur les contrôles clés (gestion des identités et des accès, chiffrement, gestion des incidents)
Cette démarche demande de la rigueur. Pour les prestataires à haut risque, cet investissement est largement justifié. Pour les fournisseurs moins critiques, une analyse proportionnée — limitée à la période, à l’opinion d’audit et aux exceptions majeures — peut suffire.
L’objectif n’est pas de devenir auditeur SOC 2, mais d’extraire des éléments de décision pertinents d’un livrable trop souvent traité comme une simple formalité administrative.
Foire aux questions sur les rapports SOC 2
Qu’est-ce qu’un rapport SOC 2 ? Un rapport SOC 2 est un audit indépendant des dispositifs de sécurité d’un prestataire de services, mené selon les Trust Services Criteria de l’AICPA. Il atteste de la conformité de la conception des contrôles et, pour les rapports de Type II, de leur efficacité opérationnelle sur une période définie.
Quelle est la différence entre un SOC 2 Type I et Type II ? Le SOC 2 Type I évalue si les contrôles sont convenablement conçus à une date fixe. Le SOC 2 Type II vérifie que ces contrôles fonctionnent de manière continue et efficace sur une période de 6 à 12 mois. Pour l’évaluation de prestataires, le Type II apporte un niveau d’assurance bien supérieur.
Que sont les contrôles complémentaires de l’entité utilisatrice (CUEC) ? Les CUEC sont des mesures mentionnées dans le rapport SOC 2 dont la mise en œuvre incombe au client, et non au prestataire. La validité de l’audit repose sur le fait que ces contrôles soient effectifs côté client (gestion des accès, chiffrement des échanges, déclaration d’incidents).
Que signifie la présence d’exceptions dans un SOC 2 ? Une exception indique qu’un contrôle n’a pas fonctionné comme prévu durant la période auditée. Elle n’est pas d’office éliminatoire. Ce qui importe, c’est sa nature, sa récurrence et la présence d’actions correctives documentées par le fournisseur. Un rapport présentant des exceptions assumées et remédiées apporte souvent plus de visibilité qu’un rapport sans la moindre réserve.
Quelle doit être l’ancienneté d’un rapport SOC 2 ? En règle générale, un rapport SOC 2 doit couvrir une période d’audit close depuis moins de 12 mois. Au-delà, le rapport risque de ne plus refléter la posture de sécurité actuelle du fournisseur, particulièrement en cas d’évolution de son infrastructure ou de son organisation.
Chez 3rdComply, l'analyse du rapport SOC 2 fait partie intégrante de chaque évaluation de tiers. Nous décortiquons le document au-delà de la simple attestation afin de faire ressortir les constats déterminants pour votre cas d'usage. Si vous souhaitez savoir ce que le rapport SOC 2 d'un fournisseur dit réellement de votre exposition au risque, contactez nos experts.