SOC 2 et gestion des actifs : que montrer à l'auditeur

Pour prouver à un auditeur SOC 2 que vous gérez vos actifs, tenez un registre unique des appareils, systèmes et contrats fournisseurs qui touchent les données clients, avec un responsable, un statut et un lieu pour chacun, et montrez comment un élément entre, change de mains et sort. SOC 2 ne contient aucun contrôle intitulé « inventaire des actifs ». L'auditeur rattache votre registre aux critères d'accès, de mise au rebut et de fournisseurs : ce qu'il teste, c'est que le registre correspond à la réalité.

SOC 2 exige-t-il vraiment un inventaire des actifs ?

SOC 2 est un rapport d'attestation fondé sur les Trust Services Criteria publiés par l'AICPA. Aucune ligne n'impose de « tenir un inventaire des actifs ». Pourtant les Common Criteria s'y appuient. Le critère d'accès logique (CC6.1) cite la gestion d'un inventaire des actifs d'information parmi ses points d'attention, le critère sur la mise au rebut des actifs physiques (CC6.5) suppose de savoir ce que l'on met au rebut, et celui des fournisseurs (CC9.2) suppose de connaître ceux dont on dépend.

L'auditeur teste votre propre description du système et vos politiques. Si vous écrivez que les appareils sont enregistrés et revus, il échantillonnera le registre pour vérifier. Un engagement court et exact vaut mieux qu'un engagement ambitieux que vous ne pouvez pas prouver.

Source : l'AICPA publie les Trust Services Criteria et sa documentation SOC 2 sur aicpa-cima.com.

Que va demander l'auditeur ?

Les demandes varient selon l'auditeur, mais suivent souvent ce schéma. Prenez-le comme point de départ et confirmez avec le vôtre.

Type I ou Type II : qu'est-ce qui change pour le registre ?

Un rapport Type I vérifie que vos contrôles sont bien conçus à une date donnée. Un rapport Type II teste qu'ils ont fonctionné sur une période, souvent plusieurs mois. Pour le registre, c'est la vraie différence. Une photo suffit pour le Type I. Pour le Type II, l'auditeur prélève des échantillons sur toute la période : il faut montrer ce que disait le registre à l'époque, pas seulement aujourd'hui.

Concrètement, conservez un export à intervalles réguliers et assurez-vous que chaque changement de statut est daté. Si un ordinateur a été réattribué en mars, la fiche doit toujours indiquer qui l'avait avant.

Quel registre minimum pour une startup ?

Inutile d'avoir une CMDB d'entreprise. Couvrez ce qui touche les données clients et saisissez les mêmes champs partout.

• Matériel : ordinateurs et téléphones, plus tout serveur ou équipement réseau possédé, avec numéro de série.
• Responsable : une personne nommée, pas une boîte partagée.
• Statut : en stock, déployé, en réparation, retiré.
• Lieu : bureau, domicile ou stockage.
• Chiffrement et gestion : disque chiffré ou non, appareil enrôlé dans votre gestion des terminaux, avec référence dans la fiche.
• Contrats fournisseurs : responsable, date de fin et préavis pour chaque fournisseur qui stocke ou traite des données clients.
• Mise au rebut : date et lien vers le certificat d'effacement.

Comment le garder juste entre deux audits ?

Un registre dérive par les bords : un nouvel arrivant reçoit un ordinateur du stock, un partant garde un téléphone, un fournisseur se renouvelle en silence. Trois habitudes couvrent l'essentiel. Rapprochez le registre de la liste de votre fournisseur d'identité une fois par mois et corrigez chaque écart. Reliez-le à votre checklist de départ pour qu'un retour soit enregistré le jour même. Et relisez chaque trimestre les dossiers de mise au rebut, car les certificats d'effacement sont ce que les équipes retrouvent le moins.

Pour le panorama de ce qu'un auditeur attend, voyez survivre à un audit des actifs IT et le registre d'actifs ISO 27001, très proche.

Où s'insère InventorIA ?

InventorIA réunit le registre matériel (attribution, statut, garantie, lieu et états du cycle de vie), les licences logicielles avec leurs sièges et le registre des contrats fournisseurs avec dates de début et de fin et alertes de renouvellement. Les fiches personnes et le départ relient chaque personne aux actifs et sièges qu'elle détient, et les données s'exportent en CSV ou Excel pour remettre à l'auditeur une copie datée. Un journal d'audit fait partie de l'offre Enterprise.

C'est un outil de tenue de registre. Il ne vous rend pas conforme SOC 2 à lui seul : l'effacement, le chiffrement et les contrôles d'accès restent à vous d'exécuter et de prouver. Pour essayer avec des données d'exemple, ouvrez la démo en direct ou créez un espace gratuit, jusqu'à 10 actifs.

Questions fréquentes

Un inventaire des actifs est-il obligatoire pour SOC 2 ?

Les critères n'ont pas de contrôle portant ce nom exact, mais les critères d'accès, de mise au rebut et de fournisseurs supposent de connaître ses actifs, donc les auditeurs en attendent un. Décrivez ce que vous faites réellement dans votre description du système.

Les appareils personnels (BYOD) doivent-ils figurer au registre ?

S'ils peuvent accéder aux données clients, oui, ou alors votre politique doit l'interdire et vous devez pouvoir montrer comment c'est appliqué. L'auditeur veut que la règle corresponde à la pratique.

Un tableur suffit-il pour le premier audit ?

Oui, s'il est complet, avec responsables et dates, et rapproché selon un calendrier. Un outil facilite surtout l'historique et le contrôle mensuel.

À quelle fréquence revoir le registre ?

Un rapprochement mensuel avec la liste d'identités est un rythme courant pour une startup, avec une revue plus complète chaque trimestre. Choisissez un rythme tenable, puis tenez-le.

Utiliser InventorIA nous rend-il conformes SOC 2 ?

Non. L'outil conserve les enregistrements demandés par les auditeurs. La conformité dépend de vos politiques, de vos contrôles et de l'opinion de l'auditeur.