Évaluation gratuite de préparation SOC 2
Vérifiez votre niveau de préparation à SOC 2, ISO 27001, HIPAA ou au RGPD. Répondez à des questions simples, consultez votre niveau par référentiel et par domaine de contrôle, et identifiez les écarts à combler en premier.
Qu'est-ce qu'une évaluation de préparation SOC 2 ?
Une évaluation de préparation est le contrôle que vous faites avant l'auditeur. Elle compare votre pratique actuelle de la sécurité avec ce qu'examinera un audit SOC 2 (ou une certification ISO 27001, une revue HIPAA ou une évaluation RGPD), et transforme les écarts en plan d'action. Les entreprises la réalisent généralement quand un client demande un rapport SOC 2 ou un questionnaire de sécurité et qu'elles doivent savoir où elles en sont.
Cette évaluation gratuite couvre les contrôles présents dans presque tous les audits et revues clients : gouvernance et risques, contrôle des accès, appareils, protection des données, exploitation, incidents, fournisseurs et preuves. Elle ne remplace pas une revue de préparation formelle par un cabinet d'audit, mais elle vous dit où vous en êtes en quelques minutes.
De quel référentiel avez-vous besoin ?
SOC 2 Clients américains
Un rapport d'attestation d'un cabinet CPA sur la conception de vos contrôles (Type 1) et leur fonctionnement sur une période (Type 2). La demande habituelle des clients SaaS et grands comptes américains.
ISO 27001 International
Une certification de votre système de management de la sécurité de l'information par un organisme accrédité. Courante auprès des clients au Royaume-Uni, en Europe, en Australie et en Asie.
HIPAA Données de santé américaines
Loi américaine de protection des informations de santé. Si vous traitez des PHI pour un client du secteur de la santé, vous devez appliquer ses mesures de protection et signer un accord de partenaire commercial (BAA).
GDPR Données personnelles UE et Royaume-Uni
Loi sur la protection des données personnelles des personnes dans l'UE et au Royaume-Uni. Elle encadre la collecte, l'utilisation, la protection et la suppression de ces données, où que vous soyez établi.
Comment fonctionne le score
Chaque question correspond à un contrôle couramment attendu par les auditeurs et les clients. « Oui » compte entièrement, « Partiellement » à moitié, « Non » ou « Je ne sais pas » comptent comme non en place. Les contrôles essentiels (comme la MFA, le chiffrement des appareils, les sauvegardes, un plan de réponse aux incidents et une analyse de risques) comptent double. Le score de chaque référentiel n'utilise que les questions qui le concernent : vos scores SOC 2 et RGPD peuvent donc différer.
- 90 % et plus : prêt à préparer l'audit : collectez des preuves et planifiez une revue de préparation.
- 70–89%: presque prêt : comblez les derniers écarts, puis commencez à collecter des preuves.
- 40–69%: en progression : un plan ciblé de quelques mois comble généralement les écarts.
- Moins de 40 % : stade initial : commencez par la politique, la MFA, le chiffrement, les sauvegardes et un plan de réponse aux incidents.
Les écarts les plus fréquents
- Aucune trace de preuves. Les contrôles existent, mais personne ne peut montrer qu'ils ont fonctionné le trimestre dernier. Le SOC 2 Type 2 repose sur des preuves dans la durée.
- Départs mal gérés. D'anciens salariés gardent l'accès à la messagerie ou à des comptes cloud pendant des semaines.
- Sauvegardes et plans d'incident jamais testés. Les deux existent sur le papier mais n'ont jamais été testés.
- Aucune analyse de risques. C'est l'un des premiers documents demandés par les auditeurs, et l'un des plus rapides à produire.
- Des fournisseurs jamais évalués. Vos clients vous évaluent ; les auditeurs vérifient que vous évaluez vos propres fournisseurs.
SOC 2 Type 1 ou Type 2 ?
Un rapport Type 1 vérifie si vos contrôles sont correctement conçus à un instant donné. Un rapport Type 2 vérifie aussi qu'ils ont fonctionné efficacement sur une période, généralement de trois à douze mois. Beaucoup d'entreprises commencent par le Type 1 pour répondre rapidement à un client, puis passent au Type 2. Dans tous les cas, les écarts de cette évaluation sont ceux à combler en premier.
Questions fréquentes
Cette évaluation est-elle gratuite ?
Oui. Vous pouvez la refaire aussi souvent que vous le souhaitez, télécharger le PDF et partager l'aperçu sans créer de compte.
Mes réponses sont-elles envoyées en ligne ?
Non. Les scores sont calculés dans votre navigateur. Un lien d'aperçu partagé contient les réponses dans le lien lui-même. Si vous ajoutez vos coordonnées et téléchargez ou partagez, Sourceably enregistre ces coordonnées et vos scores, sauf si vous cochez « Ne pas me contacter ».
Un score élevé signifie-t-il que je suis conforme SOC 2 ?
Non. Il s'agit d'une autoévaluation, pas d'un audit, d'une attestation ni d'une certification. Seul un cabinet CPA agréé peut émettre un rapport SOC 2, et seul un organisme de certification accrédité peut vous certifier ISO 27001.
Combien de temps faut-il pour être prêt pour SOC 2 ?
Cela dépend de votre point de départ. Les entreprises qui ont déjà l'essentiel en place ont souvent besoin de quelques semaines à quelques mois ; un rapport Type 2 nécessite ensuite une période d'observation de trois à douze mois en général.
Puis-je partager le résultat avec un client ?
Oui. « Partager l'aperçu » crée un lien qui affiche vos scores, clairement indiqués comme autodéclarés. Pour un tableau de bord fiable aux yeux de vos clients, faites vérifier vos contrôles par l'agent sur site de Sourceably.