Le SOC 2 exige-t-il la suppression de vos anciennes données ?
Dans le cadre de notre travail chez Opus Guard, nous discutons fréquemment avec les clients des frameworks auxquels ils sont conformes, qui comportent également des exigences en matière de conservation et de suppression des données. Bien que ce soit facile à comprendre comment la norme ISO 27001 l'exige désormais, le SOC 2 soulève fréquemment une question connexe : la conservation et la suppression des données sont-elles importantes pour la conformité à la SOC 2 ?
Bref, oui. Les critères SOC 2 Trust Services expriment clairement les exigences en matière de conservation des données et la nécessité de supprimer de manière appropriée les anciennes informations à mesure qu'elles expirent, conformément à la politique de conservation de l'organisation. Bien que les critères eux-mêmes n'indiquent pas explicitement comment ni quand les données doivent être détruites, ils soulignent l'importance de la gestion de la conservation des données, y compris l'élimination sécurisée des données qui ne sont plus nécessaires. Ceci est quelque peu différent des exigences de conservation des journaux SOC 2 ; nous les traiterons dans un article distinct à l'avenir.
Une approche réfléchie : archivez avant de supprimer
L'une des meilleures pratiques qui peut faciliter la transition entre les exigences de conservation et de suppression des données consiste à archiver les anciennes données dans un premier temps. L'archivage implique le transfert de données qui ne sont plus utilisées activement vers un environnement de stockage sécurisé en lecture seule. Cela garantit non seulement la préservation des informations historiques précieuses à des fins d'audit ou de conformité, mais réduit également le risque de suppression accidentelle de données qui pourraient être nécessaires à l'avenir. Une fois que les données ont été archivées et examinées de manière approfondie, elles peuvent être supprimées et enfin purgées en toute sécurité conformément à votre politique de conservation. Cette approche à plusieurs niveaux s'aligne bien avec les principes du SOC 2, offrant une mesure supplémentaire de contrôle et de documentation.
Présentation rapide du SOC 2 : le quoi et le qui
Le SOC 2 (System and Organization Controls 2) est un cadre de conformité conçu pour aider les entreprises à gérer et à protéger les données sensibles de leurs clients. Il évalue l'efficacité des contrôles internes d'une organisation liés à cinq domaines clés, connus sous le nom de Critères relatifs aux services de confiance (TSC) : sécurité, disponibilité, intégrité du traitement, confidentialité et confidentialité. Les rapports SOC 2 sont essentiels pour les organisations, en particulier celles qui gèrent des données basées sur le cloud, car ils témoignent de leur engagement à protéger les informations des clients. De nombreux prospects souhaitent consulter le rapport SOC 2 d'une organisation avant d'envisager de devenir client.
SOC2 est développé et maintenu par Institut américain des comptables publics certifiés (AICPA). L'AICPA a créé le SOC 2, y compris les TSCs ↗️, afin de normaliser et d'évaluer la manière dont les entreprises gèrent les données conformément aux meilleures pratiques en matière de sécurité et de confidentialité des données.
Voici comment les critères de confiance pertinents influent sur vos choix en matière de conservation et de destruction des données :
1. Principe de sécurité
Le principe de sécurité est largement inclus dans presque tous les rapports SOC 2 ↗️. Dans le cadre de la Sécurité Par principe, le SOC 2 attend des entreprises qu'elles protègent les informations contre tout accès non autorisé et qu'elles les sauvegardent tout au long de leur cycle de vie. Cela implique de s'assurer que les processus d'élimination des données sont sécurisés. La destruction des données qui ne sont plus conformes à la politique de conservation doit être traitée avec le même niveau de sécurité que celui appliqué pendant leur période de conservation.
Les méthodes appropriées de destruction des données incluent :
- Effacement des données (ou purge) pour les informations numériques, où les données sont purgées en toute sécurité pour empêcher toute restauration.
- Déchiquetage pour les dossiers physiques, en veillant à ce que les documents papier soient irrécupérables.
2. Principes de confidentialité et de confidentialité
Les principes de confidentialité et de protection de la vie privée obligent les entreprises à veiller à ce que les données sensibles ou personnelles ne soient conservées que tant qu'elles répondent à l'objectif pour lequel elles ont été conçues. Et le principe de confidentialité est également inclus dans la plupart des rapports SOC 2. Une fois que les données ne sont plus nécessaires pour des raisons légales, opérationnelles ou commerciales, elles doivent être supprimées ou détruites en toute sécurité afin d'empêcher tout accès non autorisé ou toute utilisation abusive.
La conservation de données obsolètes peut entraîner des violations de la vie privée ou des atteintes à la confidentialité, en particulier si des données qui auraient dû être détruites sont exposées lors d'un incident de sécurité. Par conséquent, le SOC 2 met l'accent l'importance de mettre en place un processus pour détruire en toute sécurité les données périmés.
3. Exigences de conformité et de contrôle
Les audits SOC 2 recherchent souvent des politiques et des contrôles documentés liés à la conservation et à la destruction des données. Les auditeurs s'attendent à ce que les entreprises aient défini des procédures pour gérer les informations à mesure qu'elles vieillissent, y compris des pratiques d'élimination sécurisées. Ne pas détruire correctement les données peut entraîner des problèmes de conformité, en particulier si l'entreprise ne peut pas démontrer que les données sensibles ne sont plus conservées après la période d'utilisation prévue.
Comment les entreprises doivent gérer l'archivage, la conservation et la suppression
Pour se conformer à la norme SOC 2, les entreprises doivent :
- Établissez des politiques claires de destruction des données: Les politiques de conservation des données doivent spécifier comment et quand les données seront déplacées vers une archive, ainsi que comment et quand elles seront détruites après l'expiration de leur période de conservation.
- Mettre en œuvre un archivage sécurisé: utilisez un stockage sécurisé dont l'accès est contrôlé pour les données archivées. Cela permet non seulement de préserver les informations historiques, mais sert également de point de contrôle pour garantir que les données ne sont définitivement supprimées que lorsque cela est approprié.
- Automatisez la conservation et la suppression: Les systèmes automatisés peuvent aider à appliquer le calendrier de transfert des données vers une archive et, éventuellement, de suppression. Cela permet de minimiser les erreurs humaines et de garantir une gestion cohérente du cycle de vie des données.
- Utiliser des méthodes de destruction sécurisées: Qu'il s'agisse de données numériques (qui nécessitent une suppression ou une purge permanente) ou de données physiques (qui nécessitent un déchiquetage ou d'autres méthodes sécurisées), il est essentiel de garantir des méthodes de destruction appropriées.
- Documentez tout: Conservez des registres complets indiquant quand les données ont été archivées et quand elles ont finalement été supprimées. Cette documentation est essentielle pour démontrer la conformité aux exigences SOC 2.
Par exemple, les clients d'Atlassian peuvent bénéficier d'outils tels que Gestionnaire de rétention de contenu pour Confluence et Gestionnaire de rétention de contenu pour Jira, qui facilitent les politiques de conservation et les suppressions de routine grâce à une piste d'audit conforme. Combinés au gestionnaire de contenu et aux règles d'automatisation de Confluence dans les deux produits pour l'archivage, ils peuvent être configurés pour archiver les données en premier, garantissant ainsi que la suppression n'a lieu qu'après un examen approprié par les administrateurs de l'espace et du projet.
En résumé, les TSC SOC 2 définissent clairement les exigences en matière de conservation des données et la nécessité d'une suppression automatique de routine des anciennes informations et du contenu des employés. Le SOC 2 s'attend généralement à ce que les entreprises détruisent en toute sécurité les données qui ne sont plus nécessaires, dans le cadre du maintien de la conformité aux principes de confidentialité, de confidentialité et de sécurité ; une organisation indiquera cette conformité dans un rapport d'audit SOC 2 de type II.
Essayez Content Retention Manager gratuitement dès aujourd'hui :