Construire un avenir sécuritaire pour nos clients grâce à la certification SOC 2

En 2021, Statistique Canada rapportait qu’une entreprise canadienne sur cinq avait été victime d’une cyberattaque cette année-là. Depuis, nous remarquons que ces attaques menaçant la sécurité des données sont de plus en plus fréquentes et sophistiquées. Le message est clair pour tous : des données et des systèmes mal gérés peuvent rendre les entreprises plus vulnérables au vol de données, à l’installation de logiciels malveillants, à l’extorsion ou à d’autres types de cyberattaques. La cybersécurité est ainsi devenue une préoccupation majeure pour l’ensemble des organisations. 

Chez Logient, nous misons sur l’obtention de la certification SOC 2 pour améliorer notre culture de sécurité et assurer la protection des données de nos clients. C’est l’un des moyens que nous déployons afin de poursuivre notre cheminement vers l’excellence organisationnelle. Mais en quoi consiste concrètement cette certification et quel sera l’impact pour nos clients? 

La certification SOC 2 en bref  

Service Organization Control 2 (SOC2) est l’un des programmes de sécurité et de gestion responsable des données les plus reconnus en Amérique du Nord. Il comprend cinq critères de confiance (Trust Service Principles – TSP) élaborés par l’American Institute of CPAs (AICPA). Ceux-ci garantissent l’application par les entreprises des normes les plus élevées en matière de sécurité, de disponibilité, d’intégrité du traitement des données, de protection de la vie privée et de confidentialité. Pour obtenir cette certification rigoureuse, une entreprise doit instaurer certaines pratiques spécifiques en lien avec ces critères en plus de compléter avec succès une série de mesures de contrôle au niveau de la gestion des ressources humaines, des systèmes et des processus. Ces vérifications permettent de démontrer le maintien des critères à travers le temps. Voici ce qui est évalué en fonction de chaque critère :  

1. Sécurité́: Protection, en tout temps, des données contre les accès non autorisés.  
2. Disponibilité́: Accessibilité constante et maintien en ligne des systèmes qui hébergent et traitent les données.  
3. Confidentialité́: Classification des données sensibles et privées, sans exception, incluant le contrôle et la protection liée à l’accessibilité de celles-ci. 
4. Intégrité́ du traitement: Données complètes, exactes, validées, vérifiées et rapidement accessibles pour les personnes autorisées. 
5. Protection de la vie privée: Traitement des données en conformité avec les promesses énoncées dans la politique sur la vie privée de l’entreprise. 

Dans le cadre de ce processus de certification, Logient a ciblé 3 de ces 5 critères, soit la sécurité, la disponibilité et la confidentialité.

Deux types de certifications SOC 2 

Type 1 : Les contrôles de vérification sont effectués auprès de l’organisation à une date précise. Dans notre cas, nous avons obtenu cette SOC 2-Type 1 en octobre 2023. 

Type 2 : Les contrôles sont effectués sur une période de 3 à 12 mois afin d’évaluer si l’organisation maintient les mesures organisationnelles et techniques mises en place. L’obtention de cette certification SOC 2 Type 2 fait partie de nos objectifs en 2024 . 

Pourquoi cette certification est-elle importante pour nous et pour nos clients ?  

Offrir des services sécuritaires a toujours été une priorité pour Logient. Dès 2016, nous avons intégré les solutions infonuagiques offertes par Microsoft et AWS à nos pratiques. Cela nous a permis de bénéficier de leurs infrastructures robustes pour focaliser sur notre spécialité, soit le développement de solutions sur mesure. En 2021, anticipant une attestation SOC 2 éventuelle et voyant les contraintes additionnelles demandées par les assureurs, nous avons entrepris plusieurs chantiers visant à augmenter notre culture de sécurité : lancement d’un programme de sensibilisation et vérification systématique des antécédents criminels auprès des employés, stratégie d’accès conditionnel – confiance zéro (Zero Trust Control Access), authentification à facteurs multiples, etc.  

SOC 2 était donc la suite logique de nos actions puisqu’au final, ce n’est pas seulement une certification ou un exercice simple avec des cases à cocher ; c’est un témoignage de notre engagement envers une gestion sécuritaire et responsable des données de nos clients, et ce, à travers un cadre de conformité strict et rigoureux. La conformité SOC 2 implique un processus d’amélioration continue qui nous oblige à évaluer et à optimiser nos systèmes et processus. Le but ?  Réduire notre risque organisationnel et celui de nos clients en lien avec les brèches de sécurité qui peuvent prendre de multiples formes. Pour une compagnie comme Logient ayant connu une forte croissance par acquisitions, c’est une preuve de maturité organisationnelle au bénéfice de nos clients. 

« L’attestation SOC 2 est une démonstration concrète que nous prenons la sécurité et l’excellence organisationnelle au sérieux pour nos clients. Il ne s’agit pas seulement de protéger des données. Cette démarche nous amène à établir et à maintenir le lien de confiance que nous avons avec nos clients et partenaires en leur démontrant, par une série d’actions concrètes, que nous priorisons et investissons dans notre culture d’amélioration continue. Nos clients peuvent être assurés que les solutions que nous développons et maintenons pour eux sont sécuritaires et robustes et que nous sommes un partenaire sur lequel ils peuvent compter ». – Mathieu Abbott, vice-président, Exploitation chez Logient et responsable du programme SOC 2 

Logient en mode action pour la sécurité 

Cette initiative implique une approche holistique touchant tous les aspects de l’organisation. Au total, 74 mesures de contrôle ont été formalisées et/ou implantées au cours de cet exercice. Concernant les ressources humaines, nous avons, entre autres, formé un comité de sécurité et de confidentialité qui a piloté plusieurs initiatives incluant de la formation et de la sensibilisation auprès des employés ou l’élaboration de différentes politiques guidant nos actions dans le dossier de la cybersécurité. Nous avons également travaillé au niveau de nos processus afin de réviser, notamment, nos matrices de risques et de tester nos différents plans de contingence en lien avec la continuité des affaires, le recouvrement en cas de désastre et la réponse en cas d’incident. Les changements ont été nombreux, tout comme les bénéfices ! 

Grâce à cette nouvelle certification, nous avons grandement progressé dans notre quête vers l’excellence organisationnelle et avons mis en place des actions concrètes visant à offrir un environnement organisationnel sécuritaire pour nos clients. Cette démarche contribue directement à la réalisation des objectifs d’affaires de nos clients et ça nous rend particulièrement fiers. Maintenant, en route vers l’obtention de la certification SOC 2 Type 2!