SOC 2 pour les entreprises canadiennes : pourquoi les acheteurs l'exigent et comment s'y préparer

Un fondateur que je connais dirige une entreprise SaaS de 14 personnes depuis Halifax. Bon produit, vrais revenus, le genre de croissance qui vous pousse à embaucher deux vendeurs et à dire à votre conjoint que le pari finit enfin par fonctionner. Puis un client potentiel d'une grande entreprise américaine envoie un questionnaire de sécurité des fournisseurs. Deux cent trente lignes. Quelque part autour de la ligne 40, il demande « votre plus récent rapport SOC 2 Type II ». Il n'en avait pas. Il ne savait pas vraiment ce que c'était. La vente, environ 90 000 $ de revenu annuel récurrent, est allée à un concurrent qui en avait un.

Cette scène se répète dans les logiciels B2B canadiens. Vous bâtissez quelque chose que les gens veulent, vous commencez à vendre vers le haut du marché, et à un moment donné, une équipe d'achats ou de sécurité traite un rapport SOC 2 comme un prérequis. Pas de rapport, pas de contrat. Soyons donc lucides sur ce qu'est cette chose, d'où elle vient, et comment elle se rapporte aux obligations de protection de la vie privée que vous portez déjà en vertu du droit canadien.

Ce qu'est réellement la SOC 2 (et ce qu'elle n'est pas)

La SOC 2 est un cadre de vérification américain. Elle provient de l'AICPA, l'American Institute of Certified Public Accountants, et l'acronyme signifie System and Organization Controls. Ce n'est pas une loi. Aucun organisme de réglementation nulle part ne l'exige. C'est un rapport qu'une firme comptable agréée produit après avoir examiné si votre entreprise fait réellement les choses de sécurité qu'elle prétend faire.

Le rapport est bâti autour de cinq critères des services de confiance : Sécurité, Disponibilité, Intégrité du traitement, Confidentialité et Vie privée. La Sécurité est obligatoire. Les quatre autres sont optionnels, délimités selon ce qui importe à vous et à vos clients. Un SaaS B2B qui traite des données clients intègre presque toujours la Sécurité et la Confidentialité, souvent la Disponibilité, et de plus en plus la Vie privée.

Il y a deux types de rapports, et la différence compte plus que les gens ne s'y attendent. Un rapport Type I dit que vos contrôles sont conçus correctement à un seul moment, un instantané. Un rapport Type II dit que ces contrôles ont réellement fonctionné efficacement sur une période, habituellement de trois à douze mois. Les acheteurs qui savent ce qu'ils font veulent le Type II. Un Type I est surtout utile comme tremplin : vous l'obtenez maintenant, votre vérificateur vous observe pendant les six prochains mois, puis émet le Type II qui conclut réellement les ventes.

Une particularité canadienne mérite d'être nommée. Nous avons un équivalent national, la NCMC 3416, émise selon les normes de CPA Canada, et vous entendrez parfois parler de l'ISAE 3402 à l'international. En pratique, presque personne ne demande à un SaaS canadien une NCMC 3416. Vos acheteurs, surtout les Américains, demandent la SOC 2 par son nom. C'est donc ce que vous poursuivez.

Pourquoi les acheteurs canadiens continuent de demander un rapport américain

Voici la partie qui frustre les fondateurs. Vous êtes une entreprise canadienne, votre client est canadien, et il veut quand même une SOC 2. Pourquoi un cadre américain?

Parce que la SOC 2 a gagné la guerre de la normalisation pour le risque des fournisseurs. Les équipes d'achats et de sécurité ont besoin d'un raccourci pour « ce fournisseur ne sera pas la raison de notre atteinte ». Lire vos politiques de sécurité prend des heures. Vous croire sur parole est exclu. Un rapport SOC 2 d'un vérificateur réputé comprime tout cela en un seul artefact qu'ils peuvent classer et oublier. C'est devenu la monnaie commune de la confiance envers les fournisseurs en Amérique du Nord, et les grandes entreprises canadiennes l'ont adoptée précisément parce qu'une grande partie de leur chaîne d'approvisionnement et de leur clientèle se trouve des deux côtés de la frontière.

Il y a aussi un angle de responsabilité. Lorsqu'un responsable des achats d'une banque canadienne ou d'un réseau hospitalier approuve un nouveau fournisseur, il veut une documentation démontrant qu'il a fait sa diligence. Un rapport SOC 2 est cette trace écrite. Si quelque chose tourne mal plus tard, il peut s'y référer. À ce niveau, vous ne vendez pas vraiment du logiciel. Vous vendez une diligence défendable.

SOC 2 pour les entreprises canadiennes c. la LPRPDE : mêmes objectifs, machinerie différente

C'est ici que je vois le plus de confusion, alors je serai direct. Un rapport SOC 2 ne vous rend pas conforme au droit canadien de la vie privée, et être conforme à la LPRPDE ne vous vaut pas une SOC 2. Ils se recoupent fortement dans l'esprit et divergent complètement dans le mécanisme.

La LPRPDE, la Loi sur la protection des renseignements personnels et les documents électroniques, est la loi fédérale du secteur privé, appliquée par le Commissariat à la protection de la vie privée du Canada (le CPVP). Elle repose sur dix principes d'équité en matière de renseignements : responsabilité, consentement, limitation de la collecte, mesures de sécurité, transparence, et le reste. La Loi 25 du Québec va plus loin et est appliquée par la Commission d'accès à l'information (la CAI), qui a plus de mordant que la plupart des Canadiens ne le supposent. La CAI peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé, et des amendes pénales atteignant 25 millions de dollars ou 4 % du chiffre d'affaires mondial. L'Alberta et la Colombie-Britannique appliquent leurs propres lois sur la protection des renseignements personnels, chacune supervisée par un commissaire provincial à l'information et à la protection de la vie privée. Les données de santé font intervenir la LPRPS de l'Ontario et ses équivalents provinciaux ailleurs.

Maintenant, regardez ce qu'exigent les critères de Sécurité et de Confidentialité de la SOC 2 : contrôles d'accès, chiffrement, gestion des changements, réponse aux incidents, surveillance, gestion des fournisseurs. Vous voyez le chevauchement? Le principe 7 de la LPRPDE, les Mesures de sécurité, exige « des mesures de sécurité appropriées à la sensibilité des renseignements ». Une SOC 2 Type II propre est une preuve solide que vos mesures de sécurité sont réelles. Le CPVP n'a jamais dit « montrez-moi votre SOC 2 », mais si vous subissiez une atteinte et deviez vous expliquer, un rapport démontrant des contrôles ayant fonctionné dans le temps aiderait considérablement votre cause.

Les lacunes comptent tout autant. La SOC 2 ne dit presque rien sur le consentement, sur votre devoir de répondre aux demandes d'accès, sur les évaluations des facteurs relatifs à la vie privée obligatoires de la Loi 25, ou sur la nomination d'un responsable de la protection de la vie privée, un rôle que la LPRPDE et la Loi 25 exigent toutes deux et que la Loi 25 a rendu explicite et nommé. La SOC 2 ne demandera pas si votre processus d'atteinte respecte le seuil du « risque réel de préjudice grave » de la LPRPDE ou les obligations de signalement obligatoire du CPVP. Elle ne vérifiera pas que votre politique de confidentialité est disponible en français pour les utilisateurs québécois. Ce sont des devoirs du droit de la vie privée qu'aucune vérification de sécurité ne touche.

Le cadrage honnête est donc celui-ci : poursuivez la SOC 2 si vos acheteurs l'exigent, et traitez la conformité au droit de la vie privée comme une voie distincte et obligatoire qui partage une grande partie de la plomberie avec la moitié sécurité de la SOC 2.

Ce que signifie réellement être prêt pour la vérification

L'erreur que font les fondateurs est de traiter la SOC 2 comme un document à acheter. Ce n'en est pas un. C'est un verdict sur des systèmes que vous devez déjà faire fonctionner. Un vérificateur ne peut attester que des contrôles qui existent et derrière lesquels il y a des preuves.

Pour un Type II, la période de préparation se déroule habituellement par étapes. D'abord, vous définissez la portée, c'est-à-dire quels systèmes et quels critères des services de confiance. Puis vous mettez en œuvre les contrôles : authentification multifacteur appliquée partout, accès basé sur les rôles avec des revues d'accès trimestrielles, chiffrement en transit et au repos, un processus de gestion des changements documenté, journalisation et alertes, un plan de réponse aux incidents écrit que vous avez réellement testé, des revues de risque des fournisseurs pour vos sous-traitants, une formation de sensibilisation à la sécurité, et des contrôles RH comme les vérifications des antécédents et un départ propre. Puis vous générez des preuves en continu, captures d'écran, journaux, historiques de billets, politiques signées, sur toute votre fenêtre d'observation. Enfin, le vérificateur échantillonne ces preuves et rédige le rapport.

Des chiffres réalistes : une première SOC 2 Type II pour un petit SaaS canadien coûte environ de 15 000 $ à 40 000 $ tout compris une fois qu'on compte les frais de vérification, l'outillage et le temps d'ingénierie que vous y brûlerez. La période d'observation ajoute de trois à douze mois par-dessus le temps qu'aura pris votre remédiation. Les fondateurs qui s'attendent à conclure la vente d'entreprise « le mois prochain » avec une SOC 2 toute fraîche se trompent habituellement d'environ un an.

Le bon coup est de cesser de traiter la conformité en matière de sécurité et la conformité en matière de vie privée comme deux exercices d'incendie sans rapport. La majeure partie du travail de contrôle d'accès, de chiffrement, de journalisation et de réponse aux incidents qui satisfait le critère de Sécurité de la SOC 2 est le même travail qui satisfait le principe des mesures de sécurité de la LPRPDE et les obligations de sécurité de la Loi 25. Bâtissez le contrôle une fois, recueillez la preuve une fois, reliez-la aux deux cadres. C'est la différence entre une précipitation de six mois et une opération stable, ennuyeuse, prête pour la vérification.

Si vous fixez votre premier questionnaire de fournisseur en vous demandant où sont les lacunes, la façon la plus rapide de le découvrir est de relier ce que vous faites déjà à ce que la SOC 2 et le droit canadien de la vie privée exigent chacun. Valdra vous montrera exactement à quel point vous êtes prêt pour la SOC 2 aujourd'hui.