Audits de cybersécurité
Des preuves, pas des suppositions.
Un audit n'est pas un avis sur votre sécurité. C'est une comparaison structurée entre ce qu'exige un référentiel reconnu et ce que font réellement vos systèmes — consignée de sorte que quiconque puisse refaire la même vérification l'an prochain et obtenir une réponse comparable.
Le problème
La plupart des rapports de sécurité ne sont pas vérifiables.
Ils décrivent des impressions, les notent en couleurs, et laissent le lecteur incapable de dire si quoi que ce soit s'est amélioré six mois plus tard. Le constat dit « contrôle d'accès insuffisant » et le lecteur n'a aucun moyen de le reproduire, de le contester ou de le clore.
Chaque constat que nous rédigeons porte trois choses : ce qui a été examiné, ce qu'exige le référentiel, et comment vérifier la correction. Si nous ne pouvons pas fournir les trois, c'est une observation — et nous l'appelons ainsi.
Audit n'est pas test d'intrusion. Un audit compare vos systèmes à une norme, essentiellement par les accès et la documentation. Un test de sécurité cherche à entrer. Les deux répondent à des questions différentes et sont souvent commandés ensemble.
Périmètre
Ce qui est examiné.
Choisi avec vous au départ, selon ce que l'audit doit soutenir — une exigence client, une certification, une question du conseil, ou une acquisition.
- ArchitectureFrontières de confiance, flux de données, chemins d'authentification et endroits où une seule défaillance en entraîne d'autres.
- CodeRevue des chemins sensibles : authentification, autorisation, traitement des entrées, secrets, dépendances.
- ConfigurationComptes cloud, fournisseurs d'identité, règles réseau, stockage exposé, couverture de journalisation.
- ProcessusCycle de vie des accès, gestion des changements, rythme des correctifs, restauration des sauvegardes, traitement des incidents.
- TiersQuels fournisseurs détiennent vos données ou vos accès, et ce qui a réellement été convenu avec eux.
- Qualité des preuvesSi les contrôles sur lesquels vous vous appuyez produisent des traces qui résisteraient à une contestation.
Référentiels
Mesuré face à une norme publiée.
Nous auditons face au référentiel qui correspond à votre obligation, pas à une liste maison. Lequel s'applique fait partie de la première conversation.
ISO/IEC 27001
Lorsqu'un système de management de la sécurité de l'information existe ou se prépare à la certification.
CIS Benchmarks
Référentiels de configuration concrets et testables pour systèmes d'exploitation, plateformes cloud et services.
NIST CSF / SP 800-53
Courant lorsque des exigences fédérales américaines ou de chaîne d'approvisionnement entrent en jeu.
OWASP ASVS
Exigences de vérification au niveau applicatif, quand l'objet est un logiciel plutôt qu'une infrastructure.
Nous auditons, nous ne certifions pas. Le certificat est délivré par un organisme accrédité. Notre travail, c'est la préparation, l'analyse d'écart et la preuve — et, si vous le souhaitez, un second passage après correction.
Déroulement
Comment se déroule un audit.
Définir
Systèmes dans le périmètre, référentiel, accès nécessaires, personnes à interroger, et l'usage auquel le rapport doit servir.
Examiner
Documentation, exports de configuration, accès au code et entretiens. Les constats sont collectés avec leur preuve.
Valider
Les constats préliminaires vont à votre équipe avant la version finale. Ce que nous avons mal lu est corrigé plutôt que publié.
Rapporter et revérifier
Rapport priorisé avec voies de correction, plus un second passage facultatif confirmant quels constats sont réellement clos.
Livrables
Ce qui est sur la table à la fin.
Registre des constats
Chaque entrée avec périmètre, preuve, référence au référentiel, cotation du risque et une étape de vérification.
Plan de correction
Ordonné par risque rapporté à l'effort, pour que la première semaine de travail soit celle qui compte le plus.
Synthèse de direction
Deux pages exploitables par un conseil non technique, sans adoucir ce que dit le registre.
Besoin d'une réponse que vous pouvez montrer ?
Dites-nous qui pose la question — un client, un assureur, un régulateur ou votre propre conseil. L'auditoire détermine le référentiel, et le référentiel détermine le travail.