Le SOC 2 exige-t-il un test d'intrusion ?
Réponse courte : non, et oui aussi. Le SOC 2 ne contient aucune ligne stipulant « vous devez réaliser un test d'intrusion ». Mais la plupart des auditeurs en attendent un malgré tout, et si vous lisez ceci parce qu'un client ou une opportunité commerciale attend votre rapport, cet écart entre la lettre de la norme et ce que votre auditeur accepte est exactement ce qu'il faut vous expliquer. Le voici, sans discours commercial.
Ce qu'est réellement le SOC 2
Le SOC 2 n'est pas une liste de contrôle d'éléments à vérifier. C'est un rapport d'attestation produit par un cabinet comptable agréé (CPA), évalué par rapport aux Trust Services Criteria de l'AICPA. L'AICPA (American Institute of Certified Public Accountants) publie ces critères publiquement, et ils sont rédigés sous forme d'objectifs généraux, non d'outils spécifiques. Cette conception est délibérée. La norme cherche à savoir si vous atteignez l'objectif, pas quel produit vous avez acheté pour y parvenir.
C'est pourquoi vous ne trouverez jamais « test d'intrusion » listé comme une exigence stricte. Le SOC 2 ne fonctionne pas ainsi. Il cherche à savoir si vous surveillez vos systèmes, gérez les vulnérabilités et évaluez vos contrôles, et laisse le comment à votre appréciation et à celle de votre auditeur.
D'où vient réellement l'attente d'un pentest
Examinez les critères et deux d'entre eux font le plus gros du travail ici.
- CC4.1, le critère de surveillance, concerne la manière dont la direction évalue l'efficacité de ses contrôles. La documentation d'accompagnement de l'AICPA elle-même mentionne les tests d'intrusion comme exemple d'évaluation distincte qu'une organisation peut utiliser à cette fin. Il est cité à titre d'illustration et non d'obligation, mais il est cité.
- CC7.1 couvre la détection des vulnérabilités et des changements de configuration. Le scan de vulnérabilités y trouve naturellement sa place, et la plupart des auditeurs s'attendent à ce qu'il soit exécuté de manière régulière.
Le pentest n'est donc pas exigé par le texte. C'est la méthode la plus courante et la plus défendable pour fournir des preuves satisfaisant le CC4.1, et les auditeurs s'accordent à l'exiger car c'est la preuve en laquelle ils ont confiance. Quand les gens disent « le SOC 2 exige un pentest », c'est ce qu'ils veulent dire en réalité : votre auditeur vous en demandera très probablement un, même si la norme ne l'impose pas.
Ce que cela signifie en pratique
Quelques réalités honnêtes que les critères impliquent sans les expliciter :
- C'est votre auditeur qui fixe le niveau d'exigence, pas un blog. Deux cabinets d'audit peuvent accepter des preuves différentes pour un même critère. Avant d'acheter quoi que ce soit, demandez directement à votre auditeur ce qu'il attend pour les critères CC4.1 et CC7.1. Sa réponse est la seule qui régit votre rapport.
- Un scan n'est pas un pentest, et les auditeurs font la différence. Le scan de vulnérabilités répond au critère CC7.1. Il ne démontre pas, à lui seul, le type d'évaluation indépendante visé par le CC4.1. Si vous transmettez un simple scan requalifié sous le nom de test d'intrusion, un auditeur expérimenté s'en rendra compte, tout comme le client entreprise qui lira votre rapport.
- Le Type 2 comporte un piège de calendrier. Un SOC 2 Type 1 est une photographie à un instant T. Un Type 2 couvre une période, souvent de plusieurs mois à un an. Pour que le test soit valable comme preuve pour un Type 2, il doit généralement s'inscrire dans cette période d'observation. Un pentest réalisé il y a dix-huit mois risque de ne pas vous être utile.
- La fréquence annuelle est la norme. La plupart des auditeurs considèrent qu'un test effectué au moins une fois par an constitue l'exigence minimale, avec un nouveau test avant chaque renouvellement. Nous détaillons la situation globale pour l'ensemble des référentiels dans à quelle fréquence devez-vous faire un test d'intrusion ?
Ne confondez pas le SOC 2 avec une garantie de sécurité
C'est ici qu'il faut être direct, car c'est le point que les acheteurs comprennent mal. Un rapport SOC 2 indique à un client qu'un cabinet CPA a évalué vos contrôles par rapport à un ensemble de critères sur une période donnée. Cela ne signifie pas que vous êtes à l'abri d'une intrusion, ni que le pentest réalisé était approfondi. Un test au périmètre restreint dans le seul but de cocher une case, réalisé par le prestataire le moins cher, peut techniquement étayer le rapport tout en manquant la trajectoire réelle qu'emprunterait un attaquant.
Si vous effectuez un pentest uniquement pour réussir l'audit, vous obtenez un certificat. Si vous en effectuez un pour découvrir réellement vos vulnérabilités, vous obtenez de la sécurité. Il peut s'agir du même test. Ce n'est pas automatiquement le même test, et la différence réside dans la personne qui exécute le travail et l'honnêteté avec laquelle le périmètre est défini.
Que devez-vous donc faire en pratique ?
Si le SOC 2 est à votre programme, la démarche logique est la suivante : confirmez auprès de l'auditeur choisi ce qu'il attend pour les critères CC4.1 et CC7.1, puis définissez le périmètre d'un test d'intrusion qui répond à cette attente et s'aligne sur votre période d'observation. N'achetez pas un test à l'aveugle, et n'acceptez pas un scan déguisé en prestation complète.
Mais il existe une étape moins coûteuse à réaliser avant tout cela. Avant de vous engager dans une prestation d'audit à cinq chiffres, il est utile de savoir ce qu'un attaquant voit déjà de l'extérieur, afin d'aborder le processus sans expositions évidentes prêtes à vous surprendre. Cela ne remplacera pas le pentest exigé par votre auditeur, et nous vous le dirons clairement. Cela vous permet simplement d'entamer la démarche SOC 2 en toute connaissance de cause.
Notre contrôle à 100 $ constitue ce premier coup d'œil : un examen ciblé de votre surface d'attaque externe, exécuté sur un périmètre dont vous avez confirmé la propriété et autorisé par écrit, analysé par un opérateur expérimenté, et restitué lors d'un bilan de 30 minutes. Si votre auditeur SOC 2 exige un test d'intrusion complet, ce contrôle ne lui suffira pas, et nous vous le dirons avant que vous ne payiez, pas après. Mais c'est un point de départ honnête et économique.
SOC 2 et tests d'intrusion : réponses rapides
Le SOC 2 exige-t-il un test d'intrusion ?
Non. Le SOC 2 ne contient aucune ligne en exigeant un ; les Trust Services Criteria de l'AICPA sont rédigés sous forme d'objectifs généraux et non d'outils spécifiques. Mais la plupart des auditeurs exigent un test d'intrusion comme preuve pour les critères de surveillance et de vulnérabilité, donc en pratique, vous en aurez presque toujours besoin.
Quels critères du SOC 2 font référence aux tests d'intrusion ?
CC4.1 (surveillance) et CC7.1 (détection des vulnérabilités). La documentation d'accompagnement de l'AICPA cite le test d'intrusion comme exemple d'évaluation distincte pouvant satisfaire au critère CC4.1. Il s'agit d'un exemple, non d'une obligation.
À quelle fréquence faut-il réaliser un pentest pour le SOC 2 ?
La plupart des auditeurs s'attendent à des tests au moins annuels, planifiés pour s'inscrire dans votre période d'observation Type 2. Confirmez la fréquence exacte avec votre propre auditeur.
Un scan de vulnérabilités suffit-il pour le SOC 2 ?
Un scan sert de preuve pour la gestion des vulnérabilités, mais ne démontre pas à lui seul l'évaluation indépendante recherchée par les auditeurs. Un scan présenté sous l'étiquette d'un test d'intrusion finit généralement par se remarquer.
Lectures complémentaires
Entamez la démarche SOC 2 en toute connaissance de cause.
Notre contrôle à 100 $ révèle ce qu'un attaquant voit de l'extérieur avant que vous ne vous engagiez dans une prestation d'audit. Si votre auditeur exige un pentest complet, nous vous le dirons franchement.
Réserver un contrôle à 100 $