Conformité SSAE

La conformité SSAE, également connue sous le nom de Statement on Standards for Attestation Engagements and Compliance, est un recueil de normes d'audit et de lignes directrices utilisant des normes publiées par l'Auditing Standards Board (ASB) de l'American Institute of Certified Public Accountants (AICPA).

Ces normes définissent la manière dont les sociétés de services rendent compte de leurs contrôles et processus de conformité. La norme SSAE 16 ( SOC 1 ) a été publiée en avril 2010 comme norme de reporting pour tous les auditeurs de services et a remplacé la norme d'audit n° 70. Si vous êtes familiarisé avec les audits SOC 1 , vous connaissez probablement aussi la norme SSAE 16. Malheureusement, cette dernière présentait plusieurs lacunes et a été remplacée le 1er mai 2017 par la norme SSAE 18, conçue pour y remédier.

La norme SSAE 18 est actuellement en vigueur. Les auditeurs suivent les prescriptions de la norme SSAE 18 lors des évaluations SOC 1 à 3, qu'elles soient de type I (évaluation ponctuelle des contrôles) ou de type II (examen des contrôles sur une période de 9 à 12 mois).

La norme SSAE 18 a apporté des changements importants dans le traitement des organismes de sous-traitance. Auparavant, les contrôles et les tests des organismes de sous-traitance (externalisés ou sous-traitants) n'étaient pas couverts par l'audit, ce qui laissait des lacunes importantes dans les tests.

Sources : TechTarget , Otava

Termes associés : SOC 1 , SOC 2 , SOC 3

Qu’est-ce que cela signifie pour une PME ?

Les PME doivent mettre en place un programme de cybersécurité auditable, incluant des contrôles portant sur la gestion des accès, le moindre privilège, la responsabilité, la formation, la gouvernance et la technologie. Chacun de ces domaines nécessite des contrôles et des processus produisant des artefacts disponibles pour inspection. Ce faisant, toute PME se préparerait à une inspection externe via une évaluation SSAE 18. Dans un premier temps, les organisations devraient entreprendre une inspection SOC 1 (ou ponctuelle) de leurs contrôles. Cela leur laisse le temps de corriger les lacunes et de mettre en œuvre des mesures correctives avec un investissement réduit en temps et en argent. Une fois l'évaluation SOC 1 SSAE 18 réussie, les PME devraient rapidement passer à une inspection SOC 2 pour valider l'efficacité des processus au fil du temps.

Une PME capable de réussir une évaluation SSAE 18 SOC 2 Type II devrait être bien placée pour réussir d'autres types d'audits, même s'il peut y avoir des prescriptions propres à HIPAA, PCI, qui vont au-delà des contrôles existants.

Le principal enseignement de cet article sur les audits SSAE est l'importance cruciale de l'inspection des processus et des contrôles internes. Le NIST et CyberHoot recommandent tous deux la mise en place d'un cadre de gestion des risques au sein de toute organisation. Cela permet de consacrer son temps et son argent, ressources précieuses et limitées, aux activités les plus importantes d'atténuation des risques. Un investissement judicieux.

CyberHoot peut vous aider à préparer votre entreprise à un audit grâce à sa gestion des politiques et des processus, ses programmes de formation, ses tests anti-phishing et ses outils d'auto-évaluation avant un audit externe. Contactez-nous à l'adresse sales@cyberhoot.com pour en savoir plus !

Pour en savoir plus sur les audits SSAE et SOC, regardez cette courte vidéo :

Faites-vous suffisamment pour protéger votre entreprise ?

Inscrivez-vous dès aujourd'hui sur CyberHoot et dormez mieux en sachant que votre

les employés sont formés à la cybersécurité et sur leurs gardes !

Inscrivez-vous dès aujourd'hui !