Polygon Labs a annoncé le 2 septembre que son Open Money Stack avait réussi l'audit SOC 2 Type 1. Il s'agit d'une avancée importante en matière d'infrastructure de conformité pour les équipes souhaitant intégrer des portefeuilles, des stablecoins et des fonctionnalités cross-chain dans des systèmes d'entreprise. Toutefois, la mauvaise interprétation la plus courante du SOC 2 Type 1 consiste à le considérer comme une certification de sécurité absolue du produit. Il évalue la conception et la mise en œuvre des contrôles à un moment donné, sans prouver qu'ils ont été efficaces sur une longue période, ni garantir l'absence de vulnérabilités dans les contrats intelligents ou la blockchain.
Open Money Stack propose aux entreprises des composants intégrés tels que des portefeuilles embarqués, des flux de fonds, des stablecoins et des ponts cross-chain. Ces services relient les identités et systèmes de paiement traditionnels aux actifs sur chaîne ; les clients ne se contentent pas de vérifier le bon fonctionnement des fonctionnalités, mais s'intéressent également à la gestion des accès, à la gestion des changements, aux journaux, à la réponse aux incidents et à la gouvernance des fournisseurs. Le rapport SOC 2 fournit aux équipes d'achat et d'audit un ensemble de critères d'inspection relativement standardisés, réduisant ainsi le besoin pour chaque client de poser depuis zéro les mêmes questions de sécurité.
Le Type 1 vérifie un point dans le temps, et non une année entière.
SOC 2 est effectué par un organisme d'audit indépendant selon les critères de services de confiance de l'American Institute of Certified Public Accountants. Le Type 1 porte sur une date spécifique et évalue si la description du système et la conception des contrôles par la direction sont appropriées et ont été mises en œuvre à ce moment-là. Le Type 2 va plus loin en observant pendant une période donnée si les contrôles fonctionnent de manière continue. Les deux rapports ne sont pas de simples « certificats d'approbation », mais des rapports d'audit comportant des limites, des exceptions et des descriptions des tests effectués.
Ainsi, la réalisation du Type 1 par Polygon signifie qu'elle a mis en place les contrôles clés et les a soumis à un examen indépendant, posant les bases pour une évaluation continue ultérieure. Elle ne peut pas répondre si chaque modification d'autorisation au cours des douze derniers mois était conforme, ni prouver qu'aucune erreur de configuration ne se produira à l'avenir. Les clients professionnels doivent toujours consulter la portée du rapport, les dates d'audit, les services couverts et les contrôles supplémentaires des entités utilisateurs, et non se contenter du titre de l'annonce.
La portée est particulièrement cruciale. Open Money Stack comprend plusieurs modules ; un rapport SOC 2 peut couvrir une infrastructure spécifique, des processus humains et un environnement cloud, mais ne couvre pas automatiquement toutes les intégrations tierces, les protocoles sur chaîne ou les applications écrites par les clients eux-mêmes. Une plateforme ayant passé l'audit peut toujours exposer des clés si elle est mal intégrée ; un backend audité ne peut pas décider pour le client comment répartir les autorisations de signature.
Les services blockchain présentent des risques spécifiques au-delà des risques traditionnels des SaaS. Une fois déployés, les contrats intelligents peuvent être affectés en termes de sécurité des actifs par les droits de mise à jour, les oracles, les messages interchaînes et les clés d'administrateur. SOC 2 est efficace pour examiner les contrôles organisationnels et les processus opérationnels, mais ne remplace pas la vérification formelle des contrats intelligents ni les tests d'attaques économiques. Les clients doivent examiner à la fois les audits de contrat, les programmes de récompenses pour vulnérabilités, les mécanismes de pause d'urgence et l'historique des incidents.
Open Money Stack permet aux entreprises d'intégrer des portefeuilles et des stablecoins dans leurs applications. Pour les banques, les entreprises de paiement et les grandes plateformes, les documents SOC 2 aident les équipes sécurité de l'information, juridiques et d'audit interne à établir un langage commun. Les projets Web3 ont traditionnellement répondu aux questions de confiance en ouvrant leur code source, mais les entreprises ont également besoin de savoir qui peut modifier les configurations de production, comment révoquer les accès après le départ d'un employé, si les sauvegardes peuvent être restaurées, et qui notifie en cas d'incident. L'audit standardisé vient combler ce manque.
L'intégration entreprise nécessite toujours la vérification des clés, des tiers et des limites de responsabilité.
La première priorité est le contrôle des clés. Les portefeuilles intégrés peuvent adopter des modèles hébergés, non hébergés ou des solutions de calcul multipartite ; dans chaque cas, les responsabilités de la plateforme, du client et de l'utilisateur final sont totalement différentes. Un rapport SOC 2 peut décrire les contrôles de processus, mais le client doit néanmoins vérifier si les matériaux de clé privée peuvent être reconstruits par une seule partie, qui approuve les processus de récupération, et si les transferts d'actifs peuvent être limités en cas de compromission du compte administrateur.
Le deuxième point concerne les dépendances tierces. Les dépôts et retraits de stablecoins peuvent impliquer des banques, des émetteurs, des services d'authentification et des services cross-chain ; toute interruption à l'un de ces maillons affecte la disponibilité globale. Les entreprises doivent exiger la liste des sous-traitants clés et comprendre quelles contrôles sont gérés par Polygon et lesquels sont pris en charge par des fournisseurs de cloud ou d'autres protocoles. La mention courante dans les rapports d'audit de « contrôles complémentaires par les entités utilisateurs » signifie également que les clients doivent effectuer leur propre configuration pour que l'ensemble des contrôles soit opérationnel.
Le troisième point est la réponse aux incidents. Les transactions blockchain ne peuvent pas être annulées arbitrairement ; le temps entre la détection d'une anomalie et la prise de mesures est extrêmement précieux. Les clients doivent tester si les alertes parviennent à temps, qui a le pouvoir de suspendre un service, si les contacts dans différentes zones horaires sont efficaces, et comment collaborer avec les émetteurs de stablecoins, les échanges et les autorités compétentes lorsque des actifs sont affectés. Les procédures écrites ne peuvent fonctionner en cas d'incident réel qu'après avoir été testées par des exercices.
Après le Type 1, le marché porte généralement son attention sur le Type 2 ou d'autres preuves de continuité. Si Polygon effectue à l'avenir des vérifications de l'efficacité opérationnelle sur une période déterminée, les clients pourront plus facilement évaluer la stabilité des contrôles. Dans le même temps, les historiques de récompenses pour vulnérabilités, la page d'état, les évaluations de sécurité indépendantes et les reconstitutions transparentes des incidents comblent les limites ponctuelles des rapports d'audit.
Pour l'industrie, cette avancée indique que l'infrastructure des stablecoins approche des normes d'achat logiciel d'entreprise. La concurrence ne se base plus uniquement sur la vitesse et les frais sur chaîne, mais aussi sur la complétude des documents d'audit, la possibilité d'inclure la responsabilité dans les contrats et la vérifiabilité des contrôles opérationnels. Intégrer le processus d'évaluation des départements financiers et de conformité constitue une étape nécessaire pour que les produits Web3 passent d'outils de développement à des systèmes de fonds centraux.
Mais nécessaire ne suffit pas. Le SOC 2 Type 1 démontre que Polygon a établi et mis en œuvre une série de contrôles audités pour Open Money Stack, augmentant la transparence et réduisant le coût initial de la due diligence client. La véritable conclusion en matière de sécurité doit être tirée à partir des données d'exploitation continues, des audits techniques et des contrôles propres aux clients. Il est plus précis et plus conforme à la réalité des déploiements d'entreprise de considérer cela comme une pièce d'un puzzle de conformité, plutôt que de le présenter comme un « passeport de sécurité absolu ».