Préparation SOC 2 sans ralentir la livraison

SEYA Group prépare les équipes de livraison à un examen SOC 2 : nous comparons vos contrôles aux Trust Services Criteria que vous et votre auditeur retenez, cartographions les écarts et aidons à collecter les preuves auprès des systèmes qui livrent déjà du code. SEYA ne réalise pas l’examen SOC 2 et ne délivre pas le rapport. C’est l’auditeur qui le fait. L’exercice est piloté depuis notre bureau de Vancouver et son périmètre est défini pour que le pipeline continue de livrer pendant la collecte des preuves.

À qui s’adresse cette offre

DSI et responsables de la sécurité dont le prochain contrat d’entreprise exige un rapport SOC 2 et dont les contrôles vivent encore dans une feuille de calcul. Équipes qui disposent déjà des comptes cloud et du pipeline et qui ont besoin de quelqu’un pour désigner le contrôle dans le système plutôt que réécrire le classeur de politiques. Entreprises qui ont déjà choisi un auditeur, ou qui ont besoin de la liste des écarts avant d’en choisir un.

Ce que vous obtenez

• Une évaluation des écarts. Les critères dans le périmètre (la sécurité est le point de départ habituel ; la disponibilité, la confidentialité et les autres seulement si vous et l’auditeur les incluez), ce que vous faites déjà et ce qui manque. Les critères sont les Trust Services Criteria de l’AICPA. SEYA n’est pas un cabinet CPA et ne signe pas d’opinion.
• La cartographie des contrôles. Chaque écart est relié à un contrôle que vous pouvez exécuter : revues d’identité, gestion des changements dans le pipeline, journalisation, accès fournisseurs et comptes-rendus d’incident. Lorsqu’un contrôle correspond déjà à un contrôle DevSecOps, nous utilisons ce contrôle comme source de preuve au lieu d’ajouter un processus parallèle.
• La collecte des preuves. Une liste d’artefacts, leur provenance et la personne qui les exporte. L’automatisation signifie une requête ou une trace dans le pipeline, pas un nouvel outil que vous devriez acheter auprès de SEYA. Les preuves manuelles restent manuelles quand c’est la source honnête.
• La passation à l’auditeur. La liste des écarts, la carte des contrôles et l’index des preuves dans une forme que votre auditeur peut échantillonner. Nous assistons à la réunion de passation. Nous ne parlons pas au nom de votre auditeur.

Déroulement d’une mission

• Valider les critères. Vous, et votre auditeur si vous en avez déjà un, fixez les catégories et la période. Nous n’élargissons pas le périmètre à tous les référentiels figurant sur une diapositive.
• Lire les systèmes. Comptes, pipeline, identité et politiques déjà publiées. Les écarts de configuration cloud identifiés ici peuvent se poursuivre sous la forme d’une revue de posture si le correctif relève du travail d’ingénierie plutôt que d’un document.
• Combler les écarts dans le périmètre. Texte de politique lorsque l’écart est une politique absente. Changement de pipeline ou de compte lorsque l’écart est un contrôle manquant. La livraison ne s’arrête pas pour réécrire l’intégralité des normes.
• Remettre l’index à l’auditeur. Vous portez la relation. Le nom de SEYA sur les preuves figure comme celui de la partie qui a aidé à les rassembler, pas comme examinateur.

Ce qu’il vous faut déjà en place

Un dirigeant habilité à trancher les critères, l’accès aux systèmes qui produiraient les preuves, et une décision sur le fait qu’un auditeur soit déjà engagé. Si l’objectif est un certificat que SEYA puisse apposer, ce service n’est pas le bon : nous ne fournissons pas ce sceau.

Dans le cadre de la mission AWS de Clearly, la plateforme a été conçue en tenant compte des exigences PCI DSS, SOC 2 et ISO 27001, y compris pour la gestion des secrets. Cette formulation décrit l’intention de conception. Ce n’est pas une affirmation selon laquelle Clearly ou SEYA détiendrait ces certifications.

Questions fréquentes

SEYA peut-elle délivrer notre rapport SOC 2 ?

Non. Un rapport SOC 2 est un examen mené par un cabinet CPA agréé. SEYA prépare la liste des écarts, la carte des contrôles et l’index des preuves. Votre auditeur les examine et rédige l’opinion.

La préparation va-t-elle arrêter nos mises en production ?

L’idée de lier les preuves au pipeline est qu’une mise en production est déjà une trace. Nous ajoutons les contrôles et les exports exigés par vos critères. Nous ne remplaçons pas votre processus de livraison par un projet de preuves mensuel.

Garantissez-vous que nous réussirons ?

Non. L’opinion appartient à l’auditeur et elle dépend du fonctionnement des contrôles sur la période qu’il examine. Nous vous indiquerons quels écarts nous voyons encore avant que vous ne reteniez cette période. Un écart que nous n’avons pas comblé est consigné par écrit, pas dissimulé.

Réserver une évaluation de sécurité cloud si un client a demandé un rapport SOC 2 et que vous avez besoin de la liste des écarts avant de lui répondre.