deskbird est désormais conforme à la norme SOC 2 Type 2

deskbird a obtenu la conformité SOC 2 Type 2, confirmant que ses contrôles de sécurité fonctionnent de manière cohérente en pratique, et pas seulement sur le papier. Combiné à la certification ISO 27001 et à la conformité totale au RGPD, cela offre aux équipes IT et aux services d'approvisionnement la vérification indépendante dont ils ont besoin pour valider les évaluations des risques fournisseurs. Toutes les données sont hébergées à Francfort, en Allemagne, sans aucune ambiguïté concernant la résidence des données.

 En quelques mots :

Un rapport SOC 2 Type 2 est un audit indépendant prouvant que les contrôles de sécurité d'un fournisseur fonctionnent de manière cohérente sur 6 à 12 mois, et pas seulement sur le papier.

deskbird est conforme SOC 2 Type 2

Pour les responsables IT, mais également pour les équipes de sécurité et les responsables des achats qui évaluent les logiciels de gestion du lieu de travail avant qu'ils n'atteignent les employés cela prend toute son importance. Pour ces équipes, la conformité n'est pas un simple atout : c'est le premier filtre. Un fournisseur qui ne passe pas cette première sélection, ne peut pas intégrer la présélection.

Pour tous ceux qui évaluent deskbird dans le cadre d'un processus d'évaluation des risques fournisseurs, voici ce que cette conformité couvre, pourquoi la conformité SOC 2 Type 2 a un poids particulier dans le secteur de la gestion du lieu de travail, et ce que cela signifie pour le respect de vos propres exigences de conformité, en complément de la certification ISO 27001 et du RGPD existants de deskbird.

Ce que signifie réellement la conformité SOC 2 Type 2

Le SOC 2 Type 2 est un audit indépendant confirmant que les contrôles de sécurité d'un fournisseur fonctionnent correctement sur une période prolongée, généralement de 3 à 12 mois. Il est délivré par un cabinet d'experts-comptables certifiés (CPA) qui observe les opérations réelles : examen des journaux système, test des contrôles et analyse de la gestion des événements de sécurité.

Ce cadre a été créé par l'American Institute of Certified Public Accountants (AICPA) pour les organisations de services qui traitent les données clients. Le mot clé est « Type 2 ». Un rapport de Type 1 vérifie si les contrôles sont correctement conçus à un instant T. Le Type 2 vérifie si ces contrôles ont réellement fonctionné pendant des mois d'exploitation en direct.

[Table1]

Les équipes d'approvisionnement des entreprises préfèrent largement le Type 2, car il reflète un comportement cohérent sur toute la période d'audit, il ne s'agit pas d'une photo prise au bon moment. Le Type 1 est souvent un tremplin pour les fournisseurs qui sont encore en train de renforcer leur posture de sécurité.

Les critères des services de confiance SOC 2

Les auditeurs évaluent les fournisseurs selon un maximum de 5 critères de services de confiance. La sécurité est obligatoire dans chaque audit SOC 2. Les 4 autres sont inclus en fonction des services offerts par le fournisseur.

[Table2]

Pourquoi cela est plus important pour la gestion du lieu de travail que pour la plupart des catégories de logiciels

Les plateformes de gestion du lieu de travail sont plus proches des données sensibles des employés que la plupart des acheteurs ne l'imaginent au départ. Lorsqu'un employé réserve un poste, la plateforme enregistre qui était au bureau, quand et où il s'est assis. La gestion des visiteurs collecte les noms, les coordonnées et les enregistrements d'accès aux bâtiments. Le suivi des présences établit un modèle de mouvement individuel au fil du temps. Les plateformes qui s'intègrent aux systèmes SIRH ou à l'infrastructure de contrôle d'accès ajoutent des données d'identité à l'ensemble.

C'est le type de données que les régulateurs, les comités d'entreprise et les délégués à la protection des données (DPO) examinent attentivement. Dans les secteurs réglementés comme la finance, la santé et les services professionnels, le niveau de sécurité exigé pour toute plateforme traitant ces données est élevé. Un fournisseur sans contrôles vérifiés est une responsabilité, bien plus qu'un simple inconvénient.

La conformité SOC 2 Type 2 fournit aux équipes IT et aux DPO des preuves concrètes et tierces que les contrôles protégeant ces données fonctionnent réellement. Elle remplace les longs questionnaires de sécurité personnalisés par un rapport unique et vérifiable. Pour les équipes d'approvisionnement menant des évaluations de fournisseurs en parallèle, cela accélère considérablement le processus.

Ce que la conformité de deskbird couvre en pratique

deskbird est conforme SOC 2 Type 2, certifié ISO 27001 et conforme au RGPD. Toutes les données sont hébergées à Francfort, en Allemagne, sur l'infrastructure Google Cloud, sans aucune donnée traitée ou stockée en dehors de l'UE.

Pour les équipes IT effectuant l'évaluation technique, cela se traduit par :

• Gestion des identités : SSO via SAML et OIDC, provisionnement SCIM pour l'intégration et la désintégration automatisées des utilisateurs, et contrôle d'accès basé sur les rôles. Les intégrations avec Microsoft Entra ID et Okta signifient que l'accès est automatiquement révoqué lorsqu'une personne quitte l'organisation, sans ticket manuel.
• Contrôles de confidentialité des données : Les données de réservation sont anonymisées après une période de rétention configurable. Les journaux de présence et de visiteurs sont exportables pour vos propres audits de conformité.
• Sécurité de l'infrastructure : SLA de disponibilité de 99,8 %, hébergé dans l'UE, sans partage de données avec des tiers à des fins publicitaires ou analytiques.
• Préparation à l'audit : Vérification indépendante par un tiers que vous pouvez référencer directement dans votre propre documentation sur les risques fournisseurs.

Le rapport SOC 2 complet est disponible sur demande pendant le processus d'évaluation. Demandez une démo pour en savoir plus.

Ce qu'il faut rechercher dans le rapport SOC 2 d'un fournisseur

La réception d'un rapport est le point de départ. Voici ce qu'il faut vérifier lors de son examen :

• Date du rapport. L'audit doit avoir été conclu au cours des 12 derniers mois. Les rapports plus anciens ne reflètent pas la posture actuelle du fournisseur.
• ‍Périmètre. Confirmez que le produit spécifique que vous achetez a été inclus dans l'audit. Un fournisseur peut être conforme à la norme SOC 2 pour une ligne de produits, mais pas pour une autre.‍
• Exceptions. Il s'agit de cas où les contrôles n'ont pas fonctionné comme prévu pendant la période d'audit. Les exceptions mineures sont normales. Les exceptions répétées ou significatives nécessitent une explication.‍
• Contrôles de l'entité utilisateur. Cette section énumère les responsabilités en matière de sécurité qui vous incombent en tant que client, telles que la gestion des niveaux d'accès ou la configuration du SSO. Les connaître avant la mise en œuvre permet d'éviter les lacunes.

SOC 2 Type 2 et ISO 27001 : comparaison des deux cadres de référence

Bien que les deux signalent qu'un fournisseur prend la sécurité au sérieux, ils fonctionnent différemment et sont reconnus dans différentes régions. Le SOC 2 est la norme la plus couramment exigée dans les processus d'approvisionnement des entreprises nord-américaines. L'ISO 27001 est la référence reconnue au niveau international et largement exigée dans les processus d'approvisionnement des entreprises européennes. La plupart des fournisseurs opérant dans différentes zones géographiques maintiennent les deux.

[Table3]

deskbird détient les deux. Pour les équipes d'approvisionnement qui qualifient des fournisseurs dans différentes régions, cela élimine la nécessité d'évaluer différentes normes par zone géographique.

Comment deskbird soutient le travail hybride sécurisé

‍

La gestion d'un environnement de travail hybride implique de traiter quotidiennement des informations sensibles sur les employés. Les plannings de bureau, les registres de visiteurs et les enregistrements d'accès nécessitent tous une protection. Vous avez besoin d'une plateforme qui simplifie le travail hybride pour les employés tout en assurant une sécurité stricte des données.

deskbird détient les certifications SOC 2 Type 2 et ISO 27001. Toutes les données sont hébergées dans l'UE, garantissant la conformité au RGPD. Les équipes informatiques peuvent gérer l'accès des utilisateurs via des intégrations avec Microsoft Entra ID, Okta et les principales plateformes SIRH en utilisant le SSO et le SCIM.

Cette infrastructure vous permet d'automatiser le provisionnement et le déprovisionnement des utilisateurs sans intervention manuelle. Vous bénéficiez d'une visibilité en temps réel sur l'utilisation de l'espace et de journaux de conformité automatisés prêts pour les audits. La plateforme s'intègre aux outils que votre équipe utilise déjà, notamment Microsoft Teams, Slack et Outlook.

Si vous souhaitez une plateforme compatible SOC 2 Type 2 pour le travail hybride, demandez une démo.