Ressource gratuite
Liste de contrôle des preuves SOC 2 (Type II)
Exactement ce qu’un auditeur SOC 2 demande, organisé selon les neuf Common Criteria. Parcourez-la pour préparer votre audit — ou laissez CATAAM en collecter l’essentiel automatiquement et en continu.
CC1 — Environnement de contrôle
- Code de conduite / politique d’éthique (signé par tous les employés)
- Organigramme montrant la gouvernance sécurité et le rattachement du RSSI
- Rôles et responsabilités sécurité définis (RACI ou fiches de poste)
- Registres de suivi des formations et sensibilisations sécurité (annuels)
CC2 — Communication et information
- Politique de sécurité de l’information (diffusée, datée)
- Politique d’utilisation acceptable
- Politiques de confidentialité et de divulgation responsable publiées
- Procédure de notification d’incident (SLA de notification client en cas de violation)
CC3 — Évaluation des risques
- Document de méthodologie d’analyse des risques
- Registre des risques à jour (daté dans la période d’audit)
- Registre des menaces et vulnérabilités ; inventaire des actifs relié aux risques
- Cotation des risques (vraisemblance × impact) et décisions de traitement
CC4 — Activités de surveillance
- Calendrier et résultats des audits internes / tests de contrôles
- Comptes rendus des revues de direction (sujets sécurité)
- Journal de suivi des déficiences + preuves de remédiation des constats antérieurs
CC5 — Activités de contrôle
- Politique de gestion des changements
- Politique SDLC avec exigences de sécurité
- Enregistrements de revue de code (journaux d’approbation des PR)
- Résultats d’analyse statique / SAST sur la période d’audit
CC6 — Accès logiques et physiques
- Politique de contrôle d’accès + liste des comptes privilégiés
- Preuve d’application du MFA (capture de la politique IdP, ex. Okta / Azure AD)
- Procédure d’arrivée/départ ; désactivation des accès dans le SLA
- Revues d’accès trimestrielles ; documentation moindre privilège / RBAC
- Chiffrement au repos et en transit (RDS, S3, TLS sur tous les points d’accès)
- Rapports d’analyse de vulnérabilités + tickets de remédiation (trimestriels)
CC7 — Exploitation des systèmes
- Documentation de la surveillance sécurité / SIEM + règles d’alerte
- Politique de conservation des journaux (≥ 1 an) + centralisation des journaux
- Plan de réponse aux incidents, testé par exercice sur table pendant la période
- Journal des incidents + analyse des causes + enseignements appliqués
CC8 — Gestion des changements
- Politique de gestion des changements avec étapes d’approbation
- Échantillon de tickets de changement montrant revue et autorisation
- Séparation des tâches entre développement et déploiement
- Procédures de retour arrière
CC9 — Atténuation des risques
- Processus d’évaluation des risques fournisseurs / tiers + enregistrements
- Plans de continuité d’activité et de reprise après sinistre (testés)
- Documentation de cyber-assurance (le cas échéant)
Version abrégée de la liste de contrôle SOC 2 Type II open source de CATAAM. Les critères de disponibilité, confidentialité, intégrité des traitements et vie privée s’appliquent s’ils font partie du périmètre de votre audit — consultez la version complète sur GitHub.
Preuves SOC 2 — FAQ
- Qu’est-ce qu’une liste de contrôle des preuves SOC 2 ?
- Une liste de contrôle des preuves SOC 2 recense les documents et artefacts dont un auditeur a besoin pour vérifier chaque contrôle des Trust Services — politiques, revues d’accès, journaux, résultats d’analyse, tickets — organisés selon les Common Criteria (CC1 à CC9). Elle transforme la question « que veulent-ils vraiment ? » en une liste concrète, contrôle par contrôle.
- Quelles preuves faut-il pour SOC 2 Type II ?
- Le Type II exige la preuve que les contrôles ont fonctionné efficacement sur une période de 6 à 12 mois — et pas seulement qu’ils existaient un jour donné. Cela implique des artefacts horodatés et récurrents : revues d’accès trimestrielles, analyses de vulnérabilités périodiques, tickets de changement, revues de journaux et enregistrements d’incidents couvrant toute la fenêtre d’audit.
- En quoi est-ce différent de SOC 2 Type I ?
- Le Type I vérifie la conception des contrôles à un instant donné ; le Type II vérifie leur efficacité opérationnelle sur une période. La liste est similaire, mais le Type II exige plusieurs occurrences de chaque contrôle récurrent sur la fenêtre.
- Peut-on automatiser cela ?
- Oui. La plupart de ces éléments (politiques IAM, configuration MFA, paramètres de chiffrement, résultats d’analyse, revues d’accès, tickets de changement) peuvent être collectés automatiquement. CATAAM se connecte à AWS, GitHub et Jira et collecte ces preuves en continu, rattachées à chaque contrôle — la liste se remplit d’elle-même.
Arrêtez de rassembler tout cela à la main
CATAAM collecte et rattache automatiquement l’essentiel de ces preuves — en continu, horodatées, prêtes pour l’audit.
Voir l’automatisation des preuves SOC 2