SOC 2 Type II pour l’affichage dynamique

Si vous avez récemment évalué des fournisseurs d’affichage dynamique, vous avez peut-être remarqué une nouvelle ligne qui se glisse dans les appels d’offres et les questionnaires de sécurité : « Avez-vous un rapport SOC 2 Type II? »

Il y a cinq ans, cette question ne se posait presque jamais lors de l’achat de solutions d’affichage. Aujourd’hui, elle devient un critère éliminatoire, surtout pour les acheteurs des secteurs de la santé, des services financiers, de l’éducation et du gouvernement. Et pour cause. Les plateformes d’affichage dynamique se trouvent désormais sur les réseaux d’entreprise, fonctionnent sur une infrastructure infonuagique et gèrent des intégrations de données qui touchent des systèmes d’affaires sensibles. Ce ne sont plus de simples écrans sur un mur. Ce sont des applications SaaS présentant le même profil de risque que n’importe quel autre service infonuagique géré par votre équipe de TI.

Les plateformes d’affichage dynamique ne sont plus de simples écrans sur un mur. Ce sont des applications SaaS qui fonctionnent sur les réseaux d’entreprise.

Le problème, c’est que la plupart des fournisseurs d’affichage dynamique n’ont pas de rapport SOC 2 Type II. Ceux qui en ont un restent une petite minorité dans une industrie traditionnellement axée sur les fonctions de contenu et le matériel d’affichage plutôt que sur la conformité en matière de sécurité. Alors, quand un fournisseur vous dit qu’il « prend la sécurité au sérieux », comment pouvez-vous le vérifier? Et que prouve réellement SOC 2 Type II que d’autres affirmations ne prouvent pas?

Voyons cela de plus près.

SOC signifie System and Organization Controls. Il s’agit d’un ensemble de cadres d’audit élaborés par l’American Institute of Certified Public Accountants (AICPA), et SOC 2 est celui qui a été conçu précisément pour les organisations de services qui stockent, traitent ou transmettent des données de clients. Si votre fournisseur d’affichage dynamique héberge du contenu dans le nuage, gère votre parc de lecteurs à distance ou traite vos données par sa plateforme, il entre directement dans le champ d’application de SOC 2.

Le cadre repose sur les Trust Services Criteria de l’AICPA, organisés en cinq catégories : la sécurité, la disponibilité, l’intégrité du traitement, la confidentialité et la protection de la vie privée. La sécurité est la seule catégorie obligatoire. Les organisations choisissent ensuite les critères supplémentaires qui s’appliquent selon la nature des services qu’elles offrent et les engagements qu’elles prennent envers leurs clients. Un fournisseur d’affichage qui gère la programmation de contenu sensible et la gestion d’appareils à distance pourrait inclure la disponibilité et la confidentialité, tandis qu’un fournisseur offrant des intégrations de données plus poussées pourrait ajouter l’intégrité du traitement ou la protection de la vie privée.

Un élément distingue SOC 2 de nombreux autres cadres de sécurité : il n’impose pas d’ensemble normalisé de contrôles. Chaque organisation conçoit et met en œuvre ses propres contrôles pour satisfaire aux critères. L’auditeur évalue ensuite si ces contrôles répondent réellement aux exigences. SOC 2 est ainsi à la fois souple et rigoureux, car une entreprise ne peut pas se cacher derrière une conformité de façade. Ses contrôles particuliers doivent résister à un examen indépendant.

Et cette indépendance compte. Seuls des cabinets de CPA titulaires d’un permis peuvent réaliser des audits SOC 2 et produire le rapport d’attestation officiel. Il ne s’agit ni d’une autoévaluation, ni d’un questionnaire de fournisseur, ni d’un examen interne. Soit les contrôles résistent à l’examen externe d’auditeurs qualifiés, soit ils n’y résistent pas.

C’est ici que bien des acheteurs se trompent, et que certains fournisseurs se montrent moins transparents.

SOC 2 Type I est un portrait à un moment précis. Un auditeur se présente, examine vos contrôles de sécurité tels qu’ils existent à une date donnée et confirme qu’ils sont bien conçus. Voyez-le comme une photo. Elle montre ce qui était en place à ce moment-là, mais rien sur le fonctionnement réel de ces contrôles la semaine dernière, le mois dernier ou il y a six mois.

SOC 2 Type II est fondamentalement différent. L’auditeur évalue les mêmes contrôles, mais sur une longue période d’observation, généralement de trois à douze mois. Il échantillonne des preuves tout au long de cette période. Il ne se contente pas de demander : « Avez-vous une politique de contrôle d’accès? » Il consulte les dossiers pour confirmer que les revues d’accès ont réellement eu lieu comme prévu, que les employés ayant quitté l’entreprise ont été retirés dans le délai défini, que le chiffrement a été appliqué de façon constante et que les alertes de surveillance ont fait l’objet d’une enquête et ont été résolues.

Le Type II prouve une discipline opérationnelle dans le temps. C’est bien différent de faire bonne figure le jour de l’audit.

Pour les acheteurs d’affichage dynamique, cette distinction est essentielle. Un rapport de Type I peut vous dire qu’un fournisseur avait les bonnes politiques sur papier un certain mardi de mars. Un rapport de Type II vous dit que ces politiques ont été suivies de façon constante pendant trois mois ou plus, dans des conditions d’exploitation réelles. Quand vous confiez à un fournisseur l’accès à votre réseau, à votre chaîne de contenu et possiblement à vos intégrations de données, c’est le deuxième que vous voulez.

Il faut aussi savoir que de nombreux questionnaires de sécurité d’entreprise exigent explicitement le Type II. Quand un fournisseur répond à cette question par « Nous avons le Type I », l’équipe d’approvisionnement considère souvent que cela revient à ne pas avoir de SOC 2 du tout. Le Type I est une étape. Le Type II est la destination.

Une entreprise ne réussit pas un audit SOC 2 Type II en quelques semaines. Pour un fournisseur d’affichage dynamique, le processus s’étend généralement sur de nombreux mois et touche presque toutes les parties de l’organisation.

Tout commence par la définition de la portée. L’entreprise et le cabinet d’audit déterminent ensemble les systèmes, les processus et les critères des services de confiance visés. Pour un fournisseur d’affichage, cela comprend habituellement la plateforme CMS infonuagique, l’infrastructure qui l’héberge, les systèmes de gestion des lecteurs, le stockage et la transmission des données, ainsi que les processus internes liés au contrôle des accès, à la gestion des changements, à l’intervention en cas d’incident et à l’intégration des employés.

Vient ensuite la période d’observation. Pendant cette période (encore une fois, de trois à douze mois au minimum pour un rapport de Type II significatif), l’entreprise fonctionne selon ses contrôles documentés pendant que l’auditeur teste et échantillonne périodiquement des preuves. Ce n’est pas un exercice passif. L’auditeur consulte activement les dossiers, examine les journaux, vérifie que les activités prévues ont été réalisées et cherche les écarts entre ce que dit la politique et ce qui s’est réellement passé.

Voici certains des aspects qu’un auditeur examinera chez un fournisseur d’affichage infonuagique :

• La façon dont les accès des utilisateurs sont accordés, révisés et révoqués
• Le chiffrement des données en transit et au repos
• La façon dont les changements de code sont testés, approuvés et déployés
• La réalisation, selon le calendrier prévu, des analyses de vulnérabilités et des tests d’intrusion
• La façon dont les incidents de sécurité sont détectés, signalés et résolus
• La mise à l’essai régulière des procédures de sauvegarde et de reprise
• La vérification des employés à l’embauche et leur formation sur les politiques de sécurité
• Le fonctionnement réel des systèmes de surveillance et d’alerte, et le traitement des alertes

À la fin de la période d’observation, l’auditeur rassemble ses constatations dans un rapport SOC 2 Type II officiel. Ce rapport comprend son opinion professionnelle sur la question de savoir si les contrôles ont été conçus de façon appropriée et ont fonctionné efficacement pendant toute la période. S’il y a des exceptions (des cas où un contrôle n’a pas fonctionné comme prévu), elles sont aussi documentées. Le rapport ne se résume pas à une réussite ou à un échec. C’est une évaluation nuancée, fondée sur des preuves, que les acheteurs avertis savent lire.

Le coût n’est pas négligeable non plus. Une entreprise de taille moyenne peut s’attendre à investir de 20 000 $ à 100 000 $ dans un audit de Type II, selon la portée et la complexité. Pour une entreprise d’affichage dynamique, il s’agit d’un engagement financier et opérationnel important. C’est précisément pourquoi si peu d’acteurs de l’industrie s’y sont engagés.

Vous vous demandez peut-être : SOC 2 ne concerne-t-il pas plutôt les entreprises de logiciels financiers ou les plateformes SaaS en santé? Pourquoi un fournisseur d’affichage dynamique aurait-il besoin d’un tel examen?

La question est légitime. Et la réponse tient à l’ampleur des changements qu’a connus l’industrie de l’affichage.

Les plateformes CMS d’affichage dynamique d’aujourd’hui sont des applications SaaS complètes hébergées sur une infrastructure infonuagique. Elles stockent des identifiants de connexion, gèrent des appareils connectés au réseau, assurent des intégrations API avec des systèmes tiers et, dans certains cas, traitent des données de programmation, des renseignements d’orientation ou des flux de données en temps réel provenant de systèmes d’affaires. La surface d’attaque d’un déploiement d’affichage moderne n’a rien à voir avec les installations d’il y a dix ans, composées d’une clé USB et d’un écran.

Lorsqu’un hôpital choisit un fournisseur d’affichage pour l’orientation des patients, il doit avoir l’assurance que la plateforme du fournisseur respecte les mêmes normes de sécurité que ses autres fournisseurs infonuagiques. Lorsqu’une institution financière déploie des écrans dans ses halls, son équipe de conformité veut des documents montrant que les pratiques de traitement des données du fournisseur ont été validées de façon indépendante. Lorsqu’une université implante un affichage à l’échelle du campus, relié aux systèmes de réservation de salles et de notification d’urgence, l’équipe de sécurité des TI doit savoir que le fournisseur n’introduit pas de risque non géré dans le réseau de l’établissement.

SOC 2 Type II fournit cette documentation. Il donne aux équipes de TI et de conformité un rapport normalisé, validé par un tiers, qu’elles peuvent examiner et présenter à leurs propres auditeurs. Sans lui, les acheteurs doivent se fier aux affirmations du fournisseur, aux questionnaires de sécurité remplis par l’équipe des ventes et au langage de marketing affiché sur le site Web. Ce ne sont pas de mauvais points de départ, mais ce ne sont pas des preuves. Il existe un écart notable entre la façon dont fonctionnent les fournisseurs d’affichage audités SOC 2 Type II et ceux qui ne sont pas passés par ce processus. Il se manifeste dans de petits détails qui s’accumulent avec le temps.

Les fournisseurs audités ont généralement des processus officiels de gestion des changements. Les changements de code font l’objet d’une révision et d’une approbation documentées avant le déploiement. Les fournisseurs non audités publient souvent des mises à jour au cas par cas, avec une documentation minimale.

Les fournisseurs audités effectuent des revues d’accès régulières. Les comptes d’anciens employés et les comptes désactivés sont nettoyés selon un calendrier défini. Les fournisseurs non audités peuvent laisser dormir des comptes d’administrateur pendant des mois.

Les fournisseurs audités ont des procédures d’intervention en cas d’incident qui ont été testées et documentées. Quand un problème survient, il y a un plan d’action défini. Les fournisseurs non audités gèrent souvent les incidents de façon réactive, en improvisant au fur et à mesure.

Les fournisseurs audités surveillent leurs systèmes avec de véritables alertes. Les journaux ne sont pas seulement recueillis; ils sont examinés. Les fournisseurs non audités peuvent générer des journaux sans jamais les consulter, à moins qu’un client signale un problème.

Cela ne signifie pas qu’un fournisseur non audité n’est forcément pas sécuritaire. Mais le processus d’audit impose une rigueur opérationnelle difficile à maintenir volontairement. Quand personne n’audite vos revues d’accès, il est facile de sauter un trimestre. Quand personne ne vérifie vos journaux d’intervention en cas d’incident, il est facile de laisser aller les choses. SOC 2 Type II élimine cette ambiguïté en consignant officiellement les constatations de l’auditeur.

Pour les acheteurs qui font affaire avec des revendeurs ou des partenaires de distribution plutôt que d’acheter directement auprès du fournisseur du logiciel, un rapport SOC 2 Type II prend une importance supplémentaire.

Lorsque vous achetez par l’intermédiaire d’un revendeur, la sécurité de votre déploiement dépend toujours de la plateforme logicielle sous-jacente. Votre revendeur peut offrir une excellente installation, une excellente formation et un excellent soutien continu, mais si le CMS qu’il vend fonctionne sur une infrastructure qui n’a pas fait l’objet d’un audit indépendant, le risque de sécurité se répercute jusqu’à vous.

C’est pourquoi les acheteurs avisés posent au revendeur une question précise : « Le fournisseur du CMS derrière votre solution a-t-il un rapport SOC 2 Type II? » Si la réponse est non, ou si le revendeur l’ignore, c’est un signal à ne pas négliger.

Pour les revendeurs eux-mêmes, s’associer à un fournisseur de CMS audité SOC 2 Type II facilite leurs propres conversations de vente. Les équipes d’approvisionnement des entreprises poseront des questions sur la sécurité. Pouvoir s’appuyer sur le rapport d’audit indépendant du fournisseur de la plateforme élimine les frictions et donne au revendeur une crédibilité qu’il ne pourrait pas bâtir seul.

Corum Digital est l’une des rares entreprises d’affichage dynamique de l’industrie à avoir terminé un audit SOC 2 Type II. L’audit couvre à la fois la plateforme pour revendeurs firmChannel et la marque de vente directe MediaTile.

Corum Digital a entrepris cet audit de façon délibérée, non pas parce qu’un client l’exigeait, mais parce que la direction de l’entreprise a reconnu que les plateformes d’affichage gérées dans le nuage comportent les mêmes responsabilités en matière de sécurité que toute autre application SaaS. Le processus d’audit a couvert l’ensemble de la pile : l’infrastructure du CMS, la gestion des lecteurs, le traitement des données, les contrôles d’accès, la gestion des changements, l’intervention en cas d’incident et les pratiques de sécurité des employés.

Pour les acheteurs qui évaluent des fournisseurs d’affichage, le rapport SOC 2 Type II de Corum Digital est offert sur demande et fournit le type de preuves validées de façon indépendante qu’attendent les équipes de conformité internes et les auditeurs. Pour les partenaires revendeurs de firmChannel, le rapport d’audit sert de base de confiance qu’ils peuvent citer directement dans leurs conversations sur la sécurité avec leurs clients.

Dans une industrie où la plupart des fournisseurs s’en remettent encore à des affirmations de marketing plutôt qu’à des preuves auditées, l’audit de Corum Digital représente un engagement mesurable envers le type de discipline opérationnelle qu’exigent les acheteurs des grandes entreprises et des secteurs réglementés.

Un audit SOC 2 Type II n’est pas une solution miracle. Il ne garantit pas qu’une atteinte à la sécurité ne se produira jamais. Ce qu’il garantit, c’est qu’un auditeur indépendant a examiné les contrôles de sécurité du fournisseur sur une longue période et a constaté qu’ils étaient conçus de façon appropriée et fonctionnaient efficacement. C’est une exigence plus élevée que tout ce que l’industrie de l’affichage dynamique offre actuellement.

Si vous évaluez des fournisseurs d’affichage sécuritaires pour un déploiement relié à votre réseau d’entreprise, intégré à des systèmes d’affaires ou exploité dans un environnement réglementé, SOC 2 Type II devrait figurer sur votre liste d’exigences. Pas comme un « atout intéressant ». Comme un critère de qualification.

Posez la question tôt. Posez-la directement. Et n’acceptez pas « nous prenons la sécurité au sérieux » à la place du rapport.

Cet article est le deuxième de la série de Corum Digital sur la cybersécurité de l’affichage dynamique. Pour un regard plus large sur les raisons pour lesquelles l’affichage en réseau est devenu une véritable surface d’attaque, lisez Sept raisons alarmantes pour lesquelles l’affichage dynamique est devenu une véritable menace à la cybersécurité.