SchildmarkSOC 2
SOC 2 : des preuves pour CC6.8 et CC7, chaque jour de la période Type II
Un rapport Type II demande si vos contrôles ont fonctionné sur toute la période, pas s’ils existent. Schildmark assure la surveillance, la réponse et les correctifs visés par les Common Criteria, et en garde la trace pour chaque jour.
Ce que les critères exigent sur le plan technique
SOC 2 se réfère aux Trust Services Criteria 2017 de l’AICPA, dont les points of focus ont été révisés en 2022 ; les critères eux-mêmes n’ont pas changé. L’essentiel du travail technique se trouve dans ces Common Criteria.
- CC6.8
- Empêcher ou détecter les logiciels non autorisés ou malveillants, et y réagir.
- CC7.1
- Détecter les changements de configuration qui introduisent des vulnérabilités, et l’exposition aux vulnérabilités nouvellement découvertes.
- CC7.2
- Surveiller les composants pour repérer les anomalies révélant des actes malveillants, catastrophes naturelles ou erreurs.
- CC7.3
- Évaluer les événements de sécurité pour décider s’il s’agit d’incidents.
- CC7.4, CC7.5
- Répondre aux incidents selon un programme défini, et s’en rétablir.
- CC8.1
- Autoriser, tester, approuver et mettre en œuvre les changements d’infrastructure et de logiciels.
Type I
Les contrôles sont-ils bien conçus, à une date donnée ? Une description et une opinion sur la conception.
Type II
Ont-ils fonctionné efficacement sur une période allant jusqu’à douze mois ? L’auditeur prélève sur toute la période : il faut des enregistrements pour chaque jour.
Critère, mise en œuvre, preuve
Les règles de détection rattachent leurs alertes aux Trust Services Criteria, et la page conformité les compte par critère pour la période choisie.
| Exigence | Ce que fait Schildmark | Preuve produite |
|---|---|---|
| CC6.8 | Pas un antivirus. Les alertes de Microsoft Defender for Endpoint et de Sophos Central, et les changements d’intégrité des fichiers signalés par l’agent, arrivent dans une seule liste. | Alertes rattachées au critère. |
| CC7.1 | Contrôles de configuration CIS sur chaque machine, relus toutes les 10 minutes ; paquets vulnérables recoupés avec les données des éditeurs et de la NVD. | configuration_checks.csv, configuration_scores.csv |
| CC7.2 | Machines, sondes réseau, pare-feu, Microsoft 365, AWS et Google Cloud dans une seule liste, avec une seule échelle de gravité. | controls.csv : alertes et machines par critère sur la période. |
| CC7.3 | Chaque alerte s’ouvre avec sa règle, sa technique MITRE, ses machines et sa ligne de journal ; l’analyste répond aux questions ; une mise en sourdine exige un classement et une justification. | Mises en sourdine justifiées dans le journal d’audit. |
| CC7.4 | Blocage sur votre propre pare-feu depuis l’alerte, une règle ou l’analyste ; les règles peuvent attendre une approbation ; les adresses protégées ne sont jamais bloquées. | audit_trail.csv |
| CC7.5 | En partie seulement : la vulnérabilité exploitée peut être corrigée et vérifiée. La restauration de vos systèmes et données vous revient. | vulnerabilities_fixed.csv |
| CC8.1 | Pour les correctifs uniquement : chaque changement est planifié, répété, approuvé (deux personnes pour les machines critiques), installé dans la fenêtre de maintenance et vérifié. | patch_activity.csv |
Comme une période Type II peut durer douze mois, la page conformité avertit quand les journaux sont conservés moins de 365 jours, et le README du pack de preuves indique l’écart. En savoir plus : détection, correctifs vérifiés, page conformité et pack de preuves, et dans la documentation : Conformité, Correctifs.
Ce que Schildmark ne couvre pas
Un rapport SOC 2 couvre tout votre environnement de contrôle. Ces volets restent les vôtres et ceux de votre auditeur.
- CC1 to CC5
- Environnement de contrôle, communication, appréciation des risques, suivi des contrôles et politiques.
- CC6.1 to CC6.7
- Accès logiques et physiques à vos systèmes. Les alertes rattachées à CC6.1 peuvent l’étayer ; la gestion des accès vous revient.
- CC9
- Risques fournisseurs et partenaires, et interruption d’activité.
- Autres catégories
- Disponibilité, confidentialité, intégrité du traitement et vie privée, si elles sont dans le périmètre.
- Le rapport
- La description de votre système, et l’examen par un cabinet CPA.
Comment se déroule le déploiement
En général quelques jours, pas des mois. Rien n’est installé sur vos pare-feu.
Choisir l’hébergement
Hébergé par nous, ou sur un ou deux de vos serveurs Linux. Dans les deux cas, une instance qui n’appartient qu’à vous.
Enrôler les machines
Une commande par machine sous Windows, macOS et Linux, ou un MSI pour Intune, Configuration Manager ou les stratégies de groupe.
--patchingajoute les correctifs.Connecter le reste
Journaux des pare-feu, Microsoft 365, AWS et Google Cloud, et les pare-feu sur lesquels bloquer, configurés dans la console.
Choisir SOC 2, 365 jours
Activez SOC 2 sur la page conformité, conservez les journaux au moins 365 jours, et exportez le pack de preuves pour la période testée par votre auditeur.
Questions fréquentes
Quelle différence entre un rapport SOC 2 Type I et Type II ?
Un rapport Type I décrit votre système et indique si les contrôles sont correctement conçus à une date donnée. Un rapport Type II vérifie en plus qu’ils ont fonctionné efficacement tout au long d’une période : l’auditeur prélève des preuves sur toute cette période, pas seulement le jour de l’audit.
Quelle est la durée d’une période SOC 2 Type II ?
Elle est convenue avec votre auditeur et peut aller jusqu’à douze mois. Les enregistrements doivent couvrir toute la période ; c’est pourquoi Schildmark vous avertit si les journaux sont conservés moins de 365 jours.
SOC 2 exige-t-il un antivirus ?
Le critère CC6.8 demande des contrôles qui empêchent ou détectent les logiciels non autorisés ou malveillants, et qui y réagissent. Aucun produit n’est imposé. On y répond en général avec une protection anti-malware sur les machines et une surveillance que quelqu’un examine ; Schildmark est la seconde partie, pas la première.
Quels critères SOC 2 la surveillance de sécurité couvre-t-elle ?
Surtout CC7.2, la surveillance des composants pour détecter des anomalies, et CC7.3, l’évaluation des événements de sécurité pour décider s’il s’agit d’incidents. CC7.1 couvre la surveillance des configurations et des vulnérabilités, CC7.4 la réponse aux incidents.
La révision de 2022 a-t-elle changé les critères SOC 2 ?
Non. En 2022, l’AICPA a révisé les points of focus ; les Trust Services Criteria de 2017 n’ont pas changé. Les points of focus aident à concevoir et évaluer les contrôles ; ce ne sont pas des exigences distinctes.
Une période Type II commence ?
Dites-nous quand commence votre période d’observation et ce qui est dans le périmètre. Nous vous montrons les preuves que Schildmark conserve dès le premier jour. Tarif par machine protégée.