Journalisation d'audit SOC 2 pour les outils de surveillance : ce que les auditeurs recherchent

Les outils de surveillance apparaissent dans les audits SOC 2 en deux endroits. L'auditeur veut vérifier que vous surveillez la disponibilité et les performances (critère de services de confiance AV) et que vous journalisez qui modifie la configuration de surveillance (critère de services de confiance CC). Le premier est facile : tout moniteur de disponibilité produit suffisamment de preuves. Le second est où la plupart des équipes sont mal préparées. Ce guide couvre ce que les auditeurs SOC 2 recherchent réellement, ce que votre outil de surveillance doit journaliser et comment démontrer les contrôles pendant l'audit.

Ce qui compte pour SOC 2 en matière de surveillance

SOC 2 est basé sur des principes, pas sur des prescriptions. L'auditeur ne vérifie pas que vous avez acheté un outil spécifique. Il vérifie que vous disposez de contrôles pour soutenir les critères de services de confiance auxquels vous vous êtes engagés.

Deux critères touchent généralement les outils de surveillance. Disponibilité (AV) : vous surveillez votre service pour les pannes et y répondez. Critères communs (CC), en particulier CC7.2 (surveillance des opérations système) et CC8.1 (gestion des modifications) : vous disposez de contrôles sur qui peut modifier la configuration de surveillance et comment ces modifications sont journalisées. Le premier est simple. Le second est celui sur lequel la plupart des équipes trébuche.

Ce que les auditeurs s'attendent à voir dans les journaux

Quatre catégories d'entrées de journal seront demandées lors d'un audit SOC 2. Assurez-vous que votre outil de surveillance produit les quatre et que vous pouvez les remettre pour la période d'audit.

• Accès utilisateur : qui s'est connecté, quand, à partir de quelle adresse IP. Lié à une personne nommée, pas un compte partagé.
• Modifications de configuration : chaque modification d'un moniteur (création, mise à jour, suppression), chaque modification d'une règle de notification, chaque modification d'une clé API. Inclut qui a fait la modification et ce qui a changé.
• Événements d'incident : chaque panne détectée, avec horodatages, durée et notifications envoyées.
• Actions administratives : modifications de plan, invitations utilisateur, modifications de rôle, réinitialisations de mot de passe. L'auditeur veut voir l'historique complet de l'activité administrative.

La période de rétention qui satisfait l'auditeur

SOC 2 ne spécifie pas de période de rétention ; les auditeurs s'attendent généralement à au moins 12 mois de journaux, parfois plus pour les audits de Type 2 qui couvrent une période opérationnelle sur plusieurs trimestres.

Conseils pratiques : conservez les journaux d'audit pendant au moins 13 mois pour couvrir la période opérationnelle complète de Type 2 plus un tampon. Conservez les événements d'incident et les journaux de vérification pendant au moins 90 jours pour les critères AV. Nombreux outils de surveillance l'offrent sur les tiers Business ou supérieurs ; vérifiez avant de vous engager auprès d'un fournisseur.

Les contrôles que l'auditeur testera

L'audit testera l'efficacité opérationnelle de vos contrôles, pas seulement leur existence. Quatre tests courants touchent à la surveillance.

• Exemple de changements d'accès : l'auditeur choisit 5 à 10 entrées du journal d'audit et vous demande de démontrer le ticket ou la demande de modification correspondante. Assurez-vous que votre processus de gestion des modifications est suivi en dehors de l'outil de surveillance lui-même.
• Exemple d'incidents : l'auditeur choisit 3 à 5 incidents de la période et demande la piste de réponse. Préparez vos guides de procédures et votre modèle de postmortem.
• Inventaire des clés API : l'auditeur demande qui a des clés API, quand elles ont été utilisées en dernier et si les portées sont appropriées. Effectuez un examen trimestriel des clés et documentez-le.
• Couverture de surveillance : l'auditeur demande comment vous décidez quoi surveiller. Ayez une politique écrite qui nomme les critères ; une réponse non documentée « nous savons ce qui est important » échoue au test.

Les contrôles du côté du fournisseur à vérifier

Le rapport SOC 2 de votre fournisseur de surveillance fait partie de votre audit. L'auditeur le demandera.

Vérifiez avant de vous engager : le fournisseur a-t-il un rapport SOC 2 de Type 2 ? Quand a-t-il été émis et quelle est la période opérationnelle ? Les critères pertinents (AV, CC) sont-ils couverts ? Y a-t-il une section Considérations relatives à l'entité utilisateur qui énumère les contrôles que vous êtes responsable de mettre en œuvre en complément du fournisseur ? Prenez cela au sérieux ; un fournisseur sans rapport SOC 2 actuel peut compromettre votre audit.

L'ensemble de contrôles minimum pour réussir un audit SOC 2 sur la surveillance

Utilisez un outil de surveillance qui produit des journaux d'accès utilisateur, des journaux de modification de configuration, des journaux d'incident et des journaux d'action administrative avec au moins 13 mois de rétention. Maintenez une politique de surveillance écrite qui nomme les services que vous couvrez et les critères d'ajout de nouveaux services. Suivez les modifications de configuration via un système de tickets ou une PR git afin que chaque modification ait une justification documentée. Examinez les clés API trimestriellement. Organisez un exercice de simulation annuel de réponse aux incidents. Documentez tout. Avec ces cinq contrôles en place, la surveillance est approuvée lors de votre audit SOC 2, pas un obstacle.