Preuves et rapports

Affirmer que vous êtes sécurisé ne suffit pas ; vous devez le démontrer. Les éléments probants et les rapports montrent aux auditeurs, aux clients et aux autorités de réglementation que les contrôles existent et fonctionnent comme prévu.

Lors d'un audit, un contrôle qui n'est pas documenté est considéré comme inexistant.

Un élément probant est tout ce qui montre objectivement qu'un contrôle fonctionne :

• Exportations de configuration et paramètres système.
• Registres de révision des accès et approbations.
• Journaux (connexions, modifications, audit).
• Captures d'écran horodatées.
• Demandes, politiques et procès-verbaux de réunion.

Les éléments probants solides présentent plusieurs caractéristiques :

• Pertinents pour le contrôle évalué.
• Suffisants en quantité (ils couvrent la période).
• Fiables et propres à révéler toute altération (les données générées par le système sont préférables aux simples déclarations).
• Opportuns, c'est-à-dire recueillis pendant la période d'audit.

Les différents audits exigent des niveaux de profondeur différents :

• À un instant donné (SOC 2 de type I) : le contrôle existe aujourd'hui.
• Sur une période (SOC 2 de type II) : le contrôle a fonctionné pendant plusieurs mois ; vous avez donc besoin d'éléments probants récurrents, comme des révisions mensuelles des accès.

Pour les éléments probants liés aux incidents et aux analyses forensiques, tenez une chaîne de conservation : un registre documenté indiquant qui a collecté, manipulé et stocké chaque élément. Une rupture de cette chaîne peut rendre les éléments probants irrecevables ou peu fiables.

Les auditeurs examinent rarement chaque enregistrement. Ils sélectionnent un échantillon représentatif. Votre rôle consiste à rendre disponibles les données exhaustives de la population afin que l'échantillon soit valide (par exemple, la liste complète des nouvelles recrues lors de l'évaluation des contrôles d'intégration).

Les captures d'écran manuelles ne passent pas à l'échelle. Les outils d'automatisation de la conformité extraient en continu les éléments probants des systèmes en nuage et d'identité, les maintiennent à jour et réduisent la pression pendant les audits.

Un bon rapport s'adresse clairement aux lecteurs techniques comme aux dirigeants :

• Résumé pour la direction : situation globale en matière de sécurité et principaux risques.
• Périmètre et méthode.
• Constats accompagnés de leur gravité et des éléments probants.
• Recommandations et état des mesures correctives.

Adaptez le message à votre public. Les dirigeants ont besoin de connaître les risques et les conséquences pour l'activité ; les ingénieurs ont besoin de précisions et d'étapes pour reproduire le problème. Évitez le jargon dans les résumés et les formulations vagues dans les détails techniques.

Conservez les éléments probants aussi longtemps que l'exigent le cadre de référence et votre politique, souvent pendant un an ou plus. Stockez-les de manière sécurisée avec des contrôles d'accès, car ils peuvent eux-mêmes contenir des informations de configuration sensibles et des données personnelles.

Le rapport est un point de départ, pas une conclusion. Intégrez les constats à l'outil de suivi des corrections, corrigez les causes profondes et tirez-en des leçons pour le cycle suivant. Les programmes matures affichent au fil du temps une tendance à la baisse des constats récurrents.

Évaluez la solidité des éléments probants.

Les éléments probants et les rapports démontrent la conformité :

• Recueillez des éléments probants pertinents, suffisants, fiables et opportuns.
• Adaptez la profondeur aux audits réalisés à un instant donné ou sur une période.
• Maintenez la chaîne de conservation et garantissez la validité de l'échantillonnage.
• Rédigez des rapports clairs et intégrez les constats aux mesures correctives.