Collecte de preuves SOC 2 : le guide complet

Points clés

En bref : Les preuves prouvent que vos contrôles fonctionnent. Utilisez la collecte automatisée (intégrations API) pour les preuves continues comme les accès utilisateurs et les configs système. Collecte manuelle pour les policies, comptes-rendus de réunions et approbations. Collectez en continu, pas juste avant l'audit.

Qu'est-ce qu'une preuve SOC 2 ?

Les preuves sont de la documentation qui prouve que vos contrôles existent et fonctionnent comme prévu. Les auditeurs examinent les preuves pour former leur opinion sur votre environnement de contrôle.

Types de preuves

Caractéristiques des preuves

Une bonne preuve est :

• Pertinente : Se rapporte directement au contrôle testé
• Fiable : Provient de sources dignes de confiance
• À jour : De la période d'audit (pour le Type 2)
• Complète : Couvre le scope complet du contrôle
• Authentique : Non altérée ni fabriquée

Exigences de preuves par domaine de contrôle

Preuves de gestion des accès

Exemples de preuves :

• Screenshot des paramètres d'application MFA
• Export de la liste des utilisateurs avec dates de dernière connexion
• Tableur de revue d'accès avec approbations
• Tickets de suppression d'accès des employés terminés

Preuves de gestion des changements

Exemples de preuves :

• Pull request GitHub avec commentaires de revue
• Tickets JIRA pour les demandes de changement
• Configuration du pipeline CI/CD
• Logs de déploiement montrant les gates d'approbation

Preuves de monitoring sécurité

Exemples de preuves :

• Screenshots de configuration SIEM/outil de logging
• Définitions des règles d'alerte
• Échantillons d'alertes de sécurité (anonymisés si nécessaire)
• Paramètres de policy de rétention des logs

Preuves de gestion des vulnérabilités

Exemples de preuves :

• Rapports de scan de vulnérabilités (résumé et détails)
• Tickets de remédiation montrant les corrections
• Screenshots de dashboard de statut de patch
• Rapport annuel de penetration test

Preuves ressources humaines

Exemples de preuves :

• Rapport de completion de formation depuis le LMS
• Acknowledgment de policy signé
• Confirmation de background check (noms anonymisés)
• Checklists d'onboarding/offboarding

Preuves de gestion des vendors

Exemples de preuves :

• Tableur d'inventaire des vendors
• Questionnaires d'évaluation des risques vendors
• Rapports SOC 2 des vendors archivés
• Extraits de contrats montrant les exigences de sécurité

Preuves de continuité d'activité

Exemples de preuves :

• Document de plan de continuité d'activité
• Screenshots de configuration des backups
• Résultats de tests de restauration de backup
• Rapport et findings de test DR

Méthodes de collecte des preuves

Collecte manuelle

Quand utiliser : Preuves ponctuelles ou peu fréquentes
Processus : Screenshots, exports, collecte de documents
Avantages : Flexibilité, contrôle sur le contenu
Inconvénients : Chronophage, sujet aux gaps

Bonnes pratiques :

• Utiliser des conventions de nommage consistantes
• Inclure les timestamps dans les screenshots
• Documenter le système source
• Anonymiser les informations sensibles de façon appropriée

Collecte automatisée

Quand utiliser : Preuves continues, répétitives
Processus : Intégrations API, exports automatisés
Avantages : Continue, fiable, efficiente
Inconvénients : Setup requis, peut nécessiter personnalisation

Sources d'automatisation courantes :

• APIs cloud providers (AWS, GCP, Azure)
• Exports identity provider (Okta, Azure AD)
• Intégrations HRIS (Rippling, Gusto)
• APIs source control (GitHub, GitLab)
• Exports système de ticketing (Jira, Linear)

Approche hybride (recommandée)

Combinez collecte automatisée et manuelle :

Organisation des preuves

Structure de dossiers

SOC 2 Evidence/

• 01-Access-Control/
  • User-Provisioning/
  • Access-Reviews/
  • MFA-Configuration/
  • Privileged-Access/
• 02-Change-Management/
  • Change-Requests/
  • Code-Reviews/
  • Deployment-Records/
• 03-Security-Operations/
  • Vulnerability-Scans/
  • Security-Monitoring/
  • Incident-Response/
• 04-HR-Security/
  • Background-Checks/
  • Training-Records/
  • Onboarding-Offboarding/
• 05-Vendor-Management/
  • Vendor-Inventory/
  • Risk-Assessments/
  • SOC-Reports/
• 06-Business-Continuity/
  • BC-DR-Plans/
  • Backup-Testing/
  • DR-Testing/
• 07-Policies/
  • Current-Policies/
  • Policy-Acknowledgments/

Conventions de nommage

Utilisez un nommage consistant :

1[AAAA-MM-JJ]_[Catégorie]_[Description].[ext]
2
3Exemples :
42024-01-15_Access-Review_Q1-Engineering.xlsx
52024-02-01_Vuln-Scan_External-Infrastructure.pdf
62024-03-10_Training_Security-Awareness-Completion.csv

Version control

Pour les policies et procédures :

• Inclure les numéros de version
• Suivre l'historique des changements
• Maintenir les versions précédentes
• Documenter les dates d'approbation

Preuves pour Type 1 vs Type 2

Preuves Type 1

Focus sur la conception à un instant T :

• Documents de policies actuels
• Configurations système actuelles
• Listes d'utilisateurs actuelles
• Documentation des processus
• Screenshots montrant l'état actuel

Preuves Type 2

Focus sur le fonctionnement sur la période :

Tout ce qui est dans Type 1, plus :

• Preuves de toute la période d'observation
• Échantillons démontrant un fonctionnement consistant
• Instances multiples des contrôles récurrents
• Preuves de changements et réponses pendant la période

Populations d'échantillons pour Type 2 :

Conseils de qualité des preuves

À faire

• Timestamper tout : Montrer quand la preuve a été capturée
• Montrer le contexte complet : Inclure nom du système, date, utilisateur
• Utiliser des exports natifs : Exports système > screenshots quand possible
• Anonymiser de façon appropriée : Protéger les données sensibles tout en maintenant la validité
• Être consistant : Même format, nommage, organisation tout au long

À ne pas faire

• Ne pas fabriquer : Ne jamais créer de fausses preuves
• Ne pas cherry-pick : Fournir des échantillons complets, pas seulement les favorables
• Ne pas sur-anonymiser : Les auditeurs doivent pouvoir vérifier les preuves
• Ne pas tarder : Collecter les preuves en continu, pas juste avant l'audit
• Ne pas supposer : Vérifier ce dont les auditeurs ont vraiment besoin

Préparer les preuves pour les auditeurs

Préparation pré-audit

1. Organiser : Structurer les preuves par domaine de contrôle
2. Indexer : Créer un inventaire des preuves avec descriptions
3. Vérifier : Confirmer que toutes les preuves requises sont collectées
4. Revoir : Vérifier la qualité et la complétude
5. Mettre en place : Uploader vers un emplacement accessible par l'auditeur

Pendant l'audit

• Répondre aux demandes rapidement (sous 24-48 heures)
• Fournir des explications claires avec les preuves
• Clarifier le scope ou contexte quand nécessaire
• Suivre toutes les demandes et réponses
• Escalader les blocages immédiatement

Gestion des demandes de preuves

Pièges courants des preuves

Piège 1 : Gaps de preuves

Problème : Preuves manquantes pour certains contrôles

Prévention :

• Utiliser la checklist de preuves SOC 2
• Vérifier la couverture avant l'audit
• Automatiser la collecte continue

Piège 2 : Preuves périmées

Problème : Preuves obsolètes ou de la mauvaise période

Prévention :

• Collecter en continu tout au long de la période
• Rafraîchir les preuves mensuellement
• Timestamper toutes les preuves

Piège 3 : Preuves inconsistantes

Problème : Les preuves contredisent d'autres preuves ou les policies

Prévention :

• Aligner les preuves avec les exigences des policies
• Revoir la consistance avant soumission
• Traiter les divergences de façon proactive

Piège 4 : Sur-anonymisation

Problème : Les preuves sont trop anonymisées pour être utiles

Prévention :

• Consulter l'auditeur sur les besoins d'anonymisation
• Préserver les informations essentielles
• Proposer une visualisation non anonymisée si nécessaire

Piège 5 : Collecte de dernière minute

Problème : Précipitation pour collecter les preuves avant l'audit

Prévention :

• Automatiser la collecte des preuves
• Fixer des rappels mensuels de revue des preuves
• Utiliser une plateforme de compliance avec monitoring continu

L'approche Bastion

Collecte automatisée des preuves

Bastion collecte automatiquement les preuves depuis :

• Cloud providers (AWS, GCP, Azure)
• Identity providers (Okta, Azure AD, Google Workspace)
• Source control (GitHub, GitLab)
• Systèmes RH (Rippling, Gusto, BambooHR)
• Plateformes MDM
• Et plus de 100 autres intégrations

Monitoring continu

• Preuves collectées en temps réel
• Gaps identifiés automatiquement
• Alertes quand les preuves deviennent périmées
• Prêt pour l'audit à tout moment

Portail auditeur

• Bibliothèque de preuves organisée
• Accès facile pour l'auditeur
• Suivi des demandes
• Historique des communications

Support expert

Votre vCISO dédié :

• Revoit la complétude des preuves
• Identifie les gaps avant les auditeurs
• Prépare les narratifs de preuves
• Supporte les demandes de l'auditeur

Besoin d'aide avec la collecte de preuves ? Parlons-en →