Audits de sécurité

Un audit de sécurité est une évaluation systématique de la mesure dans laquelle une organisation respecte ses contrôles et politiques de sécurité. Il compare l’état réel à une norme définie et documente les écarts.

Les audits évaluent les contrôles ; à eux seuls, ils ne corrigent pas les problèmes.

Ces termes se recoupent, mais présentent des différences :

• Audit : vérifie les contrôles par rapport à une norme, avec des preuves.
• Essai d’intrusion : exploite activement les faiblesses pour démontrer leur impact.
• Évaluation des risques : estime la probabilité et l’impact des menaces.

Les audits proviennent de deux sources :

• Internes : réalisés par votre propre équipe pour assurer une confiance continue et se préparer aux audits.
• Externes : réalisés par des auditeurs indépendants, ils sont nécessaires pour la certification et pour rassurer les parties prenantes.

Un audit classique suit des phases clairement définies :

• Planification : définir le périmètre et les objectifs.
• Travaux d’audit : recueillir et vérifier les preuves.
• Rapport : documenter les constatations et leur gravité.
• Correction : corriger les écarts et vérifier les résultats.

Le périmètre permet de garder l’audit ciblé et délimité. Précisez les systèmes, les emplacements, les processus et la période concernés.

Des objectifs clairs (par exemple valider les contrôles de l’annexe A d’ISO 27001) indiquent aux auditeurs quelles preuves recueillir et ce qui constitue un résultat satisfaisant.

Les auditeurs recueillent les preuves de l’existence et du fonctionnement des contrôles :

• Extractions de configuration et captures d’écran.
• Journaux et examens de access.
• Politiques et approbations signées.
• Entretiens avec les responsables des contrôles.

Les auditeurs vérifient les contrôles de deux façons :

• Conception : le contrôle est-il capable d’atteindre son objectif ?
• Efficacité opérationnelle : a-t-il effectivement fonctionné pendant la période ?

L’échantillonnage est courant : il consiste à examiner un sous-ensemble représentatif des enregistrements plutôt que tous les enregistrements.

Chaque écart devient une constatation, évaluée selon le risque. Une échelle cohérente aide à établir les priorités.

• Critique / élevée : urgente, exploitable ou bloquante pour la conformité.
• Moyenne : devrait être corrigée rapidement.
• Faible / Observation : suggestion mineure ou de renforcement.

Les constatations doivent entraîner des mesures. Suivez chacune d’elles avec un responsable, un plan et une date d’échéance dans un registre des corrections.

• Attribuez les responsabilités.
• Fixez des échéances réalistes selon la gravité.
• Vérifiez la correction (nouvel essai) avant de clôturer la constatation.

Un auditeur ne devrait pas évaluer un travail qu’il a lui-même réalisé, afin d’éviter les conflits d’intérêts. L’indépendance, en particulier pour les audits externes, rend le résultat crédible aux yeux des clients et des autorités de réglementation.

Les programmes modernes complètent les audits périodiques par une surveillance continue : des vérifications automatisées signalent en quasi-temps réel tout écart par rapport à une référence sécurisée, ce qui réduit les mauvaises surprises lors de l’audit officiel.

Distinguez un audit d’un essai d’intrusion.

Les audits de sécurité évaluent dans quelle mesure les contrôles respectent une norme :

• Les audits se distinguent des essais d’intrusion et des évaluations des risques.
• Suivez le cycle : planifier, réaliser les travaux d’audit, établir le rapport, corriger.
• Recueillez les preuves, vérifiez la conception et le fonctionnement, puis évaluez les constatations.
• Suivez les corrections et préservez l’indépendance des auditeurs.