Le fonctionnement effectif de vos contrôles de sécurité, de disponibilité et de confidentialité, observé en continu sur toute la période couverte — pas un questionnaire déclaratif rempli une fois par an.
Aucune obligation légale : SOC 2 est un standard volontaire de l'AICPA. Vous êtes concerné si vous fournissez un service (SaaS, cloud) traitant des données clients et qu'un client ou prospect exige une attestation SOC 2 Type II, qui démontre l'efficacité de vos contrôles sur une période donnée, pas à un instant isolé.
Vos contrôles sont observés en continu sur toute la période couverte, jamais photographiés à la veille de l'audit.
Chaque mesure devient un élément de preuve technique horodaté eIDAS qualifié (RFC 3161), daté par une autorité de confiance.
L'empreinte SHA-256 est publiée sur le registre public Hedera HCS. Un tiers vérifie l'intégrité sans compte, sans vous croire.
Mesure en continu, cadence 15 minutes. Jamais un instantané périmé.
Verdict = minimum sur 24 h glissantes. Personne ne peut fausser le signal.
Hash-chain SHA-256 + élément de preuve technique horodaté eIDAS qualifié + ancrage Hedera. Vérifiable par un tiers.
Payé par l'acheteur, jamais par le mesuré. Aucun conflit d'intérêts.
« Pour obtenir un rapport SOC 2 Type II, l'auditeur doit constater que vos contrôles ont fonctionné pendant toute la période. Aujourd'hui, vous lui remettez des captures et des logs que vous avez vous-même rassemblés. Nous mesurons vos contrôles en continu, chaque mesure est un élément de preuve technique horodaté eIDAS qualifié, ancré sur Hedera. L'auditeur vérifie, il ne vous croit pas sur parole. »