Nous menons la conformité SOC 2 pour les entreprises canadiennes. On ferme les écarts de contrôle et on monte le dossier de preuves que le vérificateur lit vraiment.
Une seule équipe canadienne. Elle conçoit les contrôles, les bâtit, puis monte le dossier que votre vérificateur va lire.
Les cinq critères de confiance, au complet. Nous bâtissons le programme SOC 2 Type II et documentons la preuve de chaque contrôle au fur et à mesure, jamais à la fin dans la panique.
Nous montons votre SMSI, puis les écarts de l'annexe A se ferment un à un jusqu'à l'audit.
En cadrant d'abord votre environnement de données de titulaires de cartes, nous fermons les écarts de la v4.0.1 et vous amenons devant le QSA sans surprise.
Un programme qui passe, ce n'est pas un cartable de politiques. Ce sont des contrôles vivants, chacun rattaché à l'exigence qu'il satisfait, avec la preuve à côté.
EN CHIFFRES
Cibles de préparation que nous visons.
SME-COMP-001
12 sem.
Préparation SOC 2 Type II, mandat typique
SME-COMP-002
100 %
Contrôles ISO/CEI 27001 appuyés par une preuve avant l'audit
SME-COMP-003
8 sem.
Fermeture des écarts PCI DSS v4.0.1 jusqu'au QSA
EN PRODUCTION
On conçoit le système pour que l'architecture soit la preuve. Quand le vérificateur demande comment un contrôle fonctionne, personne ne court après une capture d'écran prise trois semaines plus tôt sur un système qui a changé depuis. On ouvre la conception. On montre le contrôle en train de tourner et on pointe le journal qui le prouve.
VÉRIFIEZ VOTRE PRÉPARATION
Faites une évaluation de préparation gratuite de deux minutes.
Ces mandats, c'est moi qui les mène partout au pays. Voici donc comment ça marche vraiment.
Chaque programme part de la preuve. Nous bâtissons les contrôles, nous ne les jugeons pas. Ce partage n'est pas négociable, et il faut le dire tôt parce qu'il décide de la valeur de votre rapport. On relève d'abord où vous en êtes face au cadre visé, puis on ferme les écarts par ordre de risque, en rattachant les contrôles partagés au NIST CSF pour que rien ne se bâtisse deux fois. À la fin, le vérificateur traverse un système qui répond déjà.
On relève vos systèmes, vos flux de données et vos contrôles actuels face au cadre que vous visez. Vous recevez un rapport d'écarts qui nomme chaque contrôle manquant ou faible, le classe par risque et le rattache à l'exigence exacte qu'il ne satisfait pas. Aucune surprise plus tard.
On ferme les écarts dans l'ordre qui efface le plus de risque, pas dans l'ordre alphabétique. Certains contrôles sont un changement de configuration, d'autres demandent un outil ou un processus complet, et on séquence le tout pour que votre équipe ne soit jamais bloquée. Rien ne dort en attendant.
On monte la preuve dans la forme où le vérificateur la lit, chaque pièce rattachée au contrôle qu'elle prouve. Captures, journaux, exports de configuration, politiques. Un dossier par cadre.
On est dans la salle. Quand votre firme d'audit passe les contrôles en revue, on la guide dans l'architecture, on montre chaque contrôle en train de tourner et on pointe la preuve. Votre équipe répond avec assurance, parce que le système a été bâti pour être lu comme ça.
Ce sont les questions du premier appel. Les réponses viennent de l'auditeur principal, sans détour commercial.
Ces disciplines partagent la même équipe chevronnée et arrivent souvent ensemble. Suivez le fil jusqu'à la prochaine.
PARLONS-EN
Un spécialiste chevronné répond en moins d'une heure, 24/7.