Un travail de conformité SOC 2 qui aboutit à un rapport que votre acheteur accepte
Ils nous font confiance
Conformité SOC 2 : trois piliers, une seule équipe aux commandes.
Une seule équipe canadienne mène le travail de préparation SOC 2 : cadrer les critères, combler les écarts et monter le dossier de preuves.
Réduire le périmètre
La plupart des entreprises mettent les cinq catégories de critères dans leur périmètre quand leurs clients n'ont jamais posé de questions que sur une seule. Une seule des cinq catégories des Trust Services Criteria, la Sécurité, est obligatoire. Le reste est une décision qui a un prix.
Combler les écarts
Une liste d'écarts avec un responsable nommé, un prix et une date à chaque ligne. Cette liste vous reste, que vous poursuiviez ou non avec nous.
Monter le dossier de preuves
Politiques, billets, journaux et captures d'écran, rattachés aux critères avant que votre auditeur ait à demander deux fois. Nous n'attestons rien nous-mêmes, parce qu'un consultant SOC 2 qui a conçu vos contrôles ne peut pas les évaluer.
Avec qui allez-vous travailler?
Vous travaillez avec la personne derrière la conception. Saeid Khanipour Ghobadi a fondé SMEnode et conçoit encore l'architecture que les clients achètent. Titulaire du CCIE Data Center et fort de plus de 15 ans en réseau d'entreprise, en centre de données, en infonuagique et en IA appliquée, il cadre chaque mandat et y reste jusqu'à la livraison. Engager SMEnode, c'est engager la personne qui conçoit, pas un diaporama de vente.
Services de conformité SOC 2 : de quoi avez-vous besoin?
Dites-nous qui vous êtes et sur quoi vous travaillez. Un spécialiste chevronné lit votre message avant de vous écrire : la première réponse est donc un vrai avis sur la portée, le risque et l'échéancier, en moins d'une heure, 24/7. Rien ici ne vous engage, et on vous dira franchement si on n'est pas le bon choix.
Votre demande
- Service
- Services de conformité SOC 2
La suite
- Un spécialiste chevronné répond en moins d'une heure, 24/7. Jamais un représentant.
- On fixe un appel de 30 minutes pour écouter, esquisser des options et nommer les risques.
- Vous recevez un énoncé de travaux cadré en 3 jours ouvrables.
Appelez la ligne 24/7
+1 514-465-1584La conformité SOC 2 au Canada, concrètement.
C'est moi qui dirige cette pratique : vous lisez donc la personne qui participera à l'appel de cadrage, pas une page produit.
Réduire le périmètre, c'est la première décision, pas la dernière.
Au Canada, personne n'est légalement tenu de détenir un rapport SOC 2. Ce sont vos clients qui l'exigent, et c'est une échéance plus ferme qu'une loi. Un bon travail commence par réduire le périmètre, pas par l'élargir. Une seule des cinq catégories des Trust Services Criteria est obligatoire : la Sécurité, soit les Common Criteria que couvre tout examen. La Disponibilité, l'Intégrité du traitement, la Confidentialité et la Vie privée sont des choix, et chaque catégorie ajoutée vous vaut plus de contrôles, plus de preuves et une période plus longue. La première question n'est donc pas de savoir quelles catégories vous voulez. C'est de savoir lesquelles le client à l'origine de la démarche a demandées, par écrit, dans son questionnaire de sécurité.
La plupart des écarts sont des problèmes de preuves, pas d'outils.
Ensuite, c'est de la plomberie. Des revues des accès qui ont lieu à date fixe plutôt que quand quelqu'un y pense, des départs qui entraînent la fermeture de chaque compte, des billets de changement liés au changement lui-même, des journaux conservés aussi longtemps que la politique le prétend. La plupart des écarts que nous trouvons en préparation SOC 2 ne sont pas des outils manquants. Ce sont des contrôles qui fonctionnent, mais qui ne produisent rien qu'un auditeur puisse lire. C'est le type d'écart le moins cher à corriger, et le plus facile à laisser en plan.
Où va l'argent, et qui signe réellement.
Où va l'argent? Pas dans les honoraires de l'audit SOC 2. Le périmètre fixe le prix, la correction mange le budget, et la période d'observation d'un Type 2 dure de trois à douze mois : une mauvaise décision de cadrage au premier mois, c'est une facture que vous payez pendant un an. Au Canada, le rapport vient d'un cabinet de CPA qui suit le guide SOC 2 de CPA Canada selon la NCMC 3000, sur la base des critères de l'AICPA. Cherchez une certification SOC 2 et vous magasinerez un document que personne ne délivre. Ce qui existe, c'est une attestation SOC 2 qui porte l'opinion d'un cabinet de CPA titulaire d'un permis. Si vos clients sont sous réglementation fédérale, c'est généralement la ligne directrice B-10 du BSIF sur la gestion du risque lié aux tiers qui a fait entrer le SOC 2 dans votre contrat. Ce rapport ne couvrira pas la LPRPDE.
Le regard d'un conseiller chevronné sur vos TI?
Dites-nous ce que vous exploitez aujourd'hui et ce qui lâche sans cesse. Un spécialiste chevronné de SMEnode répond en moins d'une heure avec un premier avis sur la portée, le risque et l'échéancier. Aucun transfert aux ventes.
Demander une consultationComment se déroule notre travail de préparation SOC 2 et d'analyse des écarts.
Quatre étapes, et l'étape 01 consiste à lire la paperasse de quelqu'un d'autre. Nous voulons le questionnaire de sécurité, la clause du contrat ou le courriel qui a tout déclenché. Neuf fois sur dix, ce document nomme moins de catégories que ne le supposait le plan interne, parfois la Sécurité seulement. C'est lui qui fixe le périmètre, le coût et la date. C'est en le devinant qu'un projet de neuf mois en devient un de dix-huit.
Phases du mandat
Phases 01 à 04
Lire la demande
Nous partons des mots exacts de votre client, pas de l'affiche d'un cadre de référence. Quelles catégories, quel type de rapport, quelle échéance et si un Type 1 donne assez de temps pour conclure la vente pendant que la période plus longue se déroule en parallèle.
Évaluer et chiffrer les écarts
Chaque contrôle testé au regard des critères retenus, chaque écart consigné avec un responsable nommé, une estimation de l'effort et un coût. La liste vous revient, que vous poursuiviez ou non avec nous.
Combler et prouver
Nous bâtissons ce qui manque et, tout aussi souvent, faisons en sorte qu'un contrôle existant produise une preuve. Captures d'écran, billets, exportations et politiques, recueillis au fil de l'eau plutôt que dans la panique.
Passer la main à l'auditeur
Nous vous aidons à choisir un cabinet de CPA, à préparer la description du système et à répondre aux demandes de preuves. Puis nous nous retirons, parce que la firme qui a bâti vos contrôles ne peut pas être celle qui les évalue.
Des questions sur la conformité SOC 2, des réponses directes.
Les réponses d'abord, y compris celle où nous vous disons que le certificat que vous demandez n'existe pas. C'est un spécialiste qui prend l'appel, pas un vendeur.
Où ce travail se rattache.
Ces disciplines partagent la même équipe chevronnée et arrivent souvent ensemble. Suivez le fil jusqu'à la prochaine.
- RegulatedConformité à la LPRPDELa conformité à la LPRPDE pour les organisations canadiennes, bâtie pour tenir encore quand le projet de loi C-36 remplacera la loi actuelle.
- RegulatedÉvaluation des facteurs relatifs à la vie privée (ÉFVP)Évaluation des facteurs relatifs à la vie privée pour les institutions canadiennes et leurs fournisseurs, rédigée selon la règle qui les lie réellement.
- RegulatedGestion du risque lié aux tiersGestion du risque lié aux tiers pour les organisations canadiennes, qui couvre les sous-traitants et la concentration dont traite la B-10 du BSIF.
