Audit de sécurité et revues de conformité

Les audits de sécurité vont des autoévaluations internes (qui utilisent des référentiels comme listes de contrôle) aux audits externes menés par des tiers indépendants. Les audits de conformité vérifient le respect de normes précises (PCI-DSS, ISO 27001, HIPAA). Les tests d’intrusion fournissent une assurance technique. Chacun répond à un objectif différent.

Définissez précisément le périmètre de l’audit : les systèmes, processus et contrôles inclus ; la période évaluée ; les référentiels de contrôles applicables ; et le public cible (direction interne ou organisme certificateur externe). Toute modification du périmètre influe sur le coût, le calendrier et l’applicabilité des constats.

Les auditeurs recueillent trois types d’éléments probants : la documentation (politiques, procédures, guides de configuration), l’observation (configurations système, analyse pas à pas des processus) et les tests (mise à l’épreuve des contrôles, examen des journaux). Les éléments probants doivent être suffisants, fiables et pertinents pour chaque contrôle évalué.

Les politiques de sécurité définissent l’intention ; les procédures expliquent comment les politiques sont mises en œuvre. Les auditeurs vérifient les points suivants : les politiques existent et sont approuvées, les procédures sont à jour et suivies, les dossiers de formation attestent la sensibilisation du personnel, et les processus de dérogation consignent les écarts approuvés.

Les contrôles techniques sont vérifiés par un examen direct : examiner les ensembles de règles des pare-feu, tester les tentatives de contournement de MFA, examiner les niveaux de correctifs, auditer les appartenances aux groupes de l’annuaire actif, vérifier les configurations de chiffrement et confirmer que la restauration des sauvegardes fonctionne. La documentation des contrôles ne suffit pas : il faut les tester.

SOC 2 est un audit des critères des services de confiance réalisé par des cabinets de CPA. Le type I évalue la conception des contrôles à un instant donné. Le type II évalue la conception et l’efficacité opérationnelle sur une période de 6 à 12 mois. Les entreprises de logiciels en tant que service produisent des rapports SOC 2 de type II pour permettre aux clients d’effectuer leur vérification préalable.

PCI-DSS impose une évaluation annuelle aux commerçants et aux fournisseurs de services. Des évaluateurs qualifiés en sécurité (QSA) réalisent sur site l’évaluation des 12 exigences. La réduction du périmètre grâce au cloisonnement réseau réduit l’environnement de données des titulaires de cartes et la complexité de l’évaluation.

Les constats correspondent à des défaillances de contrôles nécessitant une remédiation. Les observations désignent des possibilités d’amélioration sans défaillance actuelle d’un contrôle. Chaque constat comprend les éléments suivants : la condition (ce qui est), le critère (ce qui devrait être), la cause (pourquoi), l’effet (l’impact) et la recommandation (comment corriger).

Créez un plan d’action et d’étapes clés (POA&M) pour chaque constat : responsable, date cible, contrôles compensatoires temporaires et état. Suivez chaque mois l’avancement de la remédiation. Les auditeurs examinent l’état du POA&M lors des évaluations de suivi ou de l’examen annuel suivant.

Les audits annuels sont insuffisants dans les environnements dynamiques. La surveillance continue de la conformité avec AWS Config, Azure Policy ou des outils CSPM commerciaux fournit un état de conformité en temps réel. Transmettez les constats au SIEM afin de déclencher des alertes en cas de dérive de conformité entre deux cycles d’audit.

Préparez l’audit en effectuant une évaluation interne de l’état de préparation, en organisant les éléments probants dans une plateforme de gestion des audits, en informant les responsables des contrôles du processus d’évaluation, en corrigeant les écarts connus avant l’arrivée des auditeurs et en désignant un interlocuteur unique pour coordonner efficacement les demandes d’éléments probants.

Quelle est la différence entre un rapport SOC 2 de type I et un rapport de type II ?

Les audits de sécurité fournissent une assurance indépendante quant à la conception et à l’efficacité opérationnelle des contrôles. La collecte des éléments probants, les tests des contrôles techniques, le suivi de la remédiation et la surveillance continue de la conformité entre les audits annuels constituent ensemble un programme de conformité robuste, qui répond aux attentes des clients, des autorités de réglementation et de la gestion interne des risques.