SOC 2 Type II chez Ciao

Un rapport SOC 2 Type I décrit des contrôles tels que conçus un seul jour. Un rapport Type II teste si ces contrôles ont réellement fonctionné sur une période d'audit — ce qui est la question que votre évaluation des risques pose vraiment. Pour une plateforme qui génère, teste et déploie des logiciels de production, l'efficacité opérationnelle compte plus que l'intention de conception : un contrôle de gestion des changements qui existe sur papier mais est ignoré sous la pression d'une échéance est exactement ce que l'audit Type II est conçu pour révéler.

Ciao fournit les rapports SOC 2 Type II sous NDA. L'étape NDA est standard pour cette catégorie de documents et joue en votre faveur : elle signifie que vous recevez le rapport complet — périmètre, tests de l'auditeur, résultats — plutôt qu'un résumé public réduit pour le marketing.

Il y a aussi un avantage procédural à souligner. Comme le rapport est un document standard, votre équipe peut examiner Ciao avec la même grille qu'elle utilise pour tout sous-traitant : pas d'exception spéciale pour l'IA, pas de cadre d'évaluation sur mesure — la même catégorie de document, la même notation, le même niveau de preuve.

Les familles de contrôles qu'une revue SOC 2 examine sont visibles dans le produit lui-même. Identité et accès : SSO via SAML et OIDC, MFA optionnelle et contrôle d'accès basé sur les rôles. Gestion des changements : Guardrails détecte les changements risqués, applique des politiques en langage clair, enregistre la revue humaine et laisse une piste d'audit derrière chaque fusion. Surveillance et exploitation : QA exécute des tests de fumée avant publication et des vérifications de production après, tandis que Doctor — un SRE IA en lecture seule — sonde l'application en production, le DNS et le CDN.

Cette correspondance est un contexte, pas un substitut au rapport. Le rapport lui-même est la déclaration faisant autorité sur le périmètre et les résultats de l'audit ; considérez tout résumé de page web, y compris celui-ci, comme un index vers le document réel.

Utilisez cette correspondance comme vous utiliseriez un plan de site : elle indique aux évaluateurs où chercher dans le produit lorsqu'une description de contrôle dans le rapport semble abstraite. Lire le rapport avec le produit ouvert transforme le langage d'audit en comportement observable, ce qui est la voie la plus rapide vers une confiance justifiée.

Un rapport Type II couvre sa période d'audit ; votre risque ne s'arrête pas à la date de fin de cette période. Deux éléments comblent l'écart. D'abord, le dossier de sécurité — disponible sur demande via la page de contact — documente l'architecture et le traitement des données actuels. Ensuite, les contrôles eux-mêmes font partie du produit, si bien qu'une évaluation peut les observer fonctionner aujourd'hui plutôt que de s'appuyer uniquement sur leur fonctionnement pendant la fenêtre auditée.

Si votre processus de risque fournisseur renote chaque année, la boucle annuelle ici est simple : demandez le rapport actuel, comparez la déclaration de périmètre à celle de l'an dernier, et relancez les vérifications en direct que votre équipe a consignées lors de la première évaluation. Les revues deviennent moins coûteuses à chaque cycle car la piste de preuves est déjà établie.