Mesures de sécurité, audits et certification

Choisir un cadre est la partie la plus facile. Le plus difficile consiste à mettre en œuvre les contrôles, puis à démontrer leur efficacité au moyen d'audits et, lorsque cela est requis, à obtenir la certification.

Cette leçon présente le parcours pratique : à quoi ressemblent concrètement les contrôles, quels types de preuves les auditeurs attendent, comment se déroule le processus d'audit et ce qu'un certificat signifie ou ne signifie pas.

Les contrôles se répartissent en trois catégories classiques selon la manière dont ils réduisent les risques :

• Préventifs — empêcher un incident de se produire (MFA, pare-feu, moindre privilège).
• Détectifs — révéler un incident en cours ou après les faits (journalisation, alertes SIEM, surveillance de l'intégrité des fichiers).
• Correctifs — restaurer les capacités et limiter les dommages après un incident (sauvegardes, application de correctifs, réponse aux incidents).

Un programme solide combine les trois niveaux ; compter uniquement sur la prévention vous laisse sans visibilité lorsque celle-ci échoue.

Les contrôles sont également classés selon leur nature :

• Administratifs — politiques, procédures, formations, revues des accès.
• Techniques — mis en œuvre dans la technologie : chiffrement, contrôle d'accès, journalisation.
• Physiques — serrures, lecteurs de badges, locaux sécurisés.

Les auditeurs recherchent une couverture des trois catégories. Un contrôle technique parfait, compromis par une politique que personne ne respecte, n'est pas un véritable contrôle.

Les auditeurs évaluent les contrôles selon deux dimensions :

• Efficacité de la conception — le contrôle, s'il fonctionne comme prévu, est-il capable de traiter le risque ?
• Efficacité opérationnelle — fonctionne-t-il réellement et de manière constante sur une certaine période ?

Un contrôle peut être bien conçu sur le papier, mais échouer dans la pratique (par exemple, une revue des journaux que personne n'effectue réellement). Les preuves doivent démontrer ces deux aspects.

Les audits reposent sur des preuves. Pour chaque contrôle, vous devez démontrer qu'il fonctionne. Voici des éléments justificatifs courants :

• Enregistrements de revue des accès montrant une recertification trimestrielle.
• Journaux et demandes prouvant que les alertes ont fait l'objet d'une enquête.
• Exports de configuration montrant que le chiffrement ou MFA est imposé.
• Relevés d'achèvement des formations.

Les auditeurs procèdent par échantillonnage. Ils sélectionnent un contrôle, demandent des preuves couvrant une période donnée et le suivent de bout en bout.

Il existe deux niveaux d'audit :

• Audit interne — vous-même (ou un auditeur interne engagé à cette fin) examinez votre propre ISMS pour repérer les écarts avant l'audit externe. Cet audit est exigé par ISO 27001.
• Audit externe / de certification — un organisme indépendant et accrédité vous évalue en vue de l'obtention du certificat.

Les audits internes constituent une répétition générale. Repérer vous-même les non-conformités coûte bien moins cher que de laisser l'organisme certificateur les découvrir.

La certification ISO 27001 se déroule en deux étapes :

• Étape 1 — examen de la documentation. L'auditeur vérifie que les documents de votre ISMS, le périmètre, la politique, l'évaluation des risques et la DdA existent et sont cohérents.
• Étape 2 — audit de mise en œuvre. L'auditeur vérifie que les contrôles fonctionnent réellement au moyen d'entretiens, d'un échantillonnage des preuves et de l'observation.

Après avoir réussi les deux étapes, vous recevez le certificat, généralement valable trois ans avec des audits de surveillance réguliers.

Les audits produisent des constats, classés selon leur gravité :

• Non-conformité majeure — un contrôle est absent ou présente une défaillance fondamentale ; elle empêche la certification tant qu'elle n'est pas corrigée.
• Non-conformité mineure — un manquement qui ne compromet pas l'ensemble du système ; il nécessite un plan d'actions correctives.
• Observation / possibilité d'amélioration — une recommandation qui ne constitue pas un échec.

Vous répondez au constat par un plan d'actions correctives : cause fondamentale, correction et prévention de la récurrence.

La certification n'est pas permanente. Les certificats ISO 27001 suivent un cycle :

• Audits de surveillance — généralement annuels, ils vérifient de manière plus légère que l'ISMS fonctionne toujours.
• Audit de renouvellement de la certification — une réévaluation complète, généralement réalisée tous les trois ans.

Ce cycle garantit que l'ISMS continue de fonctionner. Si vous cessez d'appliquer les contrôles entre deux audits, vous risquez de perdre le certificat lors de la prochaine visite de surveillance.

Les équipes matures évitent la course effrénée avant les audits en visant la conformité continue : elles recueillent automatiquement les preuves et maintiennent les contrôles prêts à être audités à tout moment.

• Automatisez la collecte de preuves (revues des accès, instantanés de configuration) selon un calendrier.
• Surveillez en temps réel la dérive des contrôles, par exemple lorsqu’un compartiment S3 devient public.
• Considérez la conformité comme un état permanent, et non comme un projet annuel.

C’est également dans ce contexte que les outils SOAR et d’automatisation de la conformité s’avèrent utiles, en transformant les audits ponctuels en assurance continue.

Il arrive qu’un contrôle requis ne puisse réellement pas être mis en œuvre tel qu’il est défini ; par exemple, un système ancien peut ne pas prendre en charge la MFA. Les référentiels autorisent alors les contrôles compensatoires : une solution de remplacement qui répond au même objectif de réduction des risques.

• Documentez pourquoi le contrôle initial est irréalisable.
• Décrivez la solution de remplacement (par exemple, une isolation réseau stricte associée à une surveillance renforcée du système ancien).
• Démontrez qu’elle réduit les risques à un niveau équivalent.

Les auditeurs acceptent les contrôles compensatoires lorsque leur justification et la réduction équivalente des risques sont clairement étayées par des preuves, et pas simplement affirmées.

Analysez l’efficacité des contrôles du point de vue d’un auditeur.

Contrôles, audits et certification :

• Les contrôles sont préventifs, détectifs ou correctifs selon leur fonction, et administratifs, techniques ou physiques selon leur nature ; superposez-les tous.
• Les auditeurs évaluent à la fois l’efficacité de la conception et l’efficacité opérationnelle ; le fonctionnement exige des preuves recueillies sur une période donnée.
• Les audits internes détectent les écarts avant l’audit de certification externe, qui se déroule en étape 1 (documentation) et en étape 2 (mise en œuvre).
• Les constats vont des non-conformités majeures et mineures aux observations ; répondez-y par des plans d’actions correctives.
• Les certificats exigent des audits de surveillance et de renouvellement ; visez la conformité continue pour rester toujours prêt à être audité.