Audits de sécurité
Un audit de sécurité doit susciter un certain malaise, mais d’une manière constructive. Si un audit ne révèle aucun problème et que tout le monde est soulagé, je voudrais vérifier si des tests ont réellement été effectués ou si l’on s’est contenté de confirmer l’existence des politiques. Les audits que je mène s’articulent autour d’une seule question : ce contrôle fonctionne-t-il réellement comme prévu, dans des conditions réelles, ou semble-t-il simplement correct sur le papier ?
Ce que je teste concrètement
L’examen de la documentation est l’étape à laquelle la plupart des audits s’arrêtent, et c’est là que le mien commence. À partir de là, je vérifie : en extrayant les fichiers de configuration plutôt que de me fier à une capture d’écran des paramètres, en comparant les listes d’accès réelles avec les personnes censées y avoir accès plutôt que de me fier à un organigramme datant d’un an, en échantillonnant les journaux pour vérifier si la surveillance censée être en place est réellement effective, et en testant si un plan de réponse aux incidents tiendrait la route face à un incident réel plutôt que de simplement paraître convaincant à la lecture. C’est dans l’écart entre ce qui est « documenté » et ce qui est « réel » que se trouvent en réalité presque toutes les constatations qui comptent.
Comment je mène un audit
Je définis le périmètre de l’audit en fonction de ce qui compte le plus pour vous — qu’il s’agisse d’un cadre spécifique auquel vous devez vous conformer, d’un système ou d’une unité opérationnelle en particulier, ou encore d’un bilan général de l’état de votre posture de sécurité — et je précise d’emblée ce qui est inclus et ce qui est exclu du périmètre avant de commencer, car un audit dont le périmètre s’élargit ou se restreint discrètement en cours de mission produit des résultats auxquels personne ne peut se fier. Au cours de l’audit, je recherche des preuves plutôt que des assurances : configurations, journaux, enregistrements d’accès et, lorsque cela s’avère utile, des tests directs visant à vérifier l’efficacité d’un contrôle. À l’issue de l’audit, vous recevez des conclusions précises et classées par ordre de priorité, et non une liste générique classée par niveau de gravité qui se ressemble pour tous les clients que j’ai jamais eus.
Je vous indique également sans détour ce qui fonctionne bien, car un audit qui ne fait que relever des problèmes finit par ressembler moins à une évaluation honnête qu’à un argumentaire de vente visant à obtenir davantage de travail. Parfois, le constat honnête est qu’un contrôle est solide et que vous pouvez cesser de vous en inquiéter.
À qui s'adresse ce document ?
Les organisations qui souhaitent bénéficier d’un regard indépendant et extérieur sur leur posture de sécurité, les entreprises se préparant à un audit client ou réglementaire et souhaitant identifier elles-mêmes leurs lacunes en premier lieu, ainsi que les conseils d’administration ou les dirigeants qui souhaitent obtenir une assurance fondée sur des tests, et non pas uniquement sur l’auto-attestation d’un fournisseur.
Si vous souhaitez un véritable examen approfondi, et non un simple tampon, n’hésitez pas à nous contacter.