Audit de cybersécurité

L'audit de cybersécurité évalue l'existence et l'efficacité des mesures mises en place pour protéger les actifs informationnels. Il ne se limite pas aux contrôles techniques : la gouvernance — politiques, habilitations, gestion des fournisseurs, réponse aux incidents — entre aussi dans le périmètre.

L'objectif est d'identifier la surface d'attaque et les lacunes des contrôles avant qu'un incident ne survienne.

• Entreprises technologiques dont les clients exigent une assurance de sécurité
• Organisations mettant en place ou maintenant l'ISO/IEC 27001
• Entreprises des infrastructures critiques et des secteurs réglementés
• Organisations traitant des données de carte (dans le périmètre PCI DSS)
• Entreprises entrant dans le périmètre d'une évaluation de sécurité fournisseur

Le critère est le référentiel appliqué : les contrôles de l'Annexe A de l'ISO/IEC 27001, l'IEC 62443 (industriel), le PCI DSS, le NIST CSF ou les CIS Controls. L'application directe d'un référentiel IT dans un environnement industriel donne un résultat erroné ; il faut choisir des critères adaptés à l'OT.

• Politiques de sécurité de l'information et structure de gouvernance
• Inventaire des actifs et classification
• Le processus d'évaluation des risques et la Déclaration d'applicabilité
• Gestion des identités et des accès, comptes à privilèges
• Segmentation du réseau et sécurité périmétrique
• Protection des postes de travail et gestion des correctifs
• Cryptographie et gestion des clés
• Journalisation, surveillance et capacités de détection
• Tests de sauvegarde et de restauration
• Pratiques de développement logiciel sécurisé
• Sécurité des fournisseurs et des prestataires de services cloud
• Le plan de réponse aux incidents et ses exercices
• Continuité d'activité et reprise après sinistre
• Formations de sensibilisation et facteur humain

• ISO/IEC 27001
• ISO/IEC 27002
• IEC 62443
• PCI DSS
• NIST CSF
• ISO 19011

1. 1Choix des critères à appliquerLa norme, le référentiel ou la réglementation servant de base à l'audit est déterminé ; dans les audits thématiques, le choix des critères détermine directement la portée du résultat.
2. 2Évaluation des risques et périmètreLes domaines à risque sont identifiés selon l'activité et l'implantation de l'organisme ; le nombre de jours d'audit est planifié en conséquence.
3. 3Revue des documents et enregistrementsPolitiques, procédures, autorisations, enregistrements de mesure et résultats d'audits antérieurs sont examinés.
4. 4Audit sur siteLes zones concernées sont parcourues ; mesures, observations et contrôles d'enregistrements propres au sujet sont réalisés.
5. 5Entretiens avec les salariésSi le sujet l'exige, des entretiens confidentiels avec les salariés sont menés indépendamment de la direction ; les déclarations sont recoupées avec les enregistrements.
6. 6Évaluation de la conformité réglementaireLa conformité à la réglementation en vigueur est contrôlée séparément ; une non-conformité légale constitue, dans tout référentiel, la catégorie de constat la plus grave.
7. 7Restitution des constatsLes constats sont classés par gravité et réunis dans un rapport.
8. 8Actions correctives et suiviUn plan d'actions correctives est obtenu ; sa clôture dans le délai prévu par le référentiel est suivie.

Les constatations sont priorisées selon le niveau de risque. Une vulnérabilité directement exploitable et un document de politique manquant n'ont pas le même poids ; cette distinction est faite explicitement dans le rapport, et l'ordre de remédiation est recommandé en fonction du risque.

• Identification de l'organisme, de l'auditeur et de l'audité
• Norme, référentiel ou réglementation appliqués
• Date, durée et périmètre de l'audit
• Constats issus de la revue des documents et enregistrements
• Observations sur site et résultats de mesure
• Constats des entretiens avec les salariés, le cas échéant
• Évaluation de la conformité réglementaire
• Constats, leur gravité et les preuves
• Plan d'actions correctives et délais

Un audit de cybersécurité évalue l'existence et la conception des contrôles ; il ne garantit pas que chaque contrôle fonctionne efficacement à tout moment. L'audit reflète la situation à une date donnée, et le paysage des menaces évolue constamment. L'audit n'est pas non plus un test d'intrusion : le caractère réellement exploitable des vulnérabilités relève d'un test technique distinct.

L'accréditation varie selon le type d'audit. Les audits de tierce partie fondant la certification de systèmes de management relèvent de l'ISO/IEC 17021-1, ceux fondant la certification de produits de l'ISO/IEC 17065 ; ces domaines sont soumis à accréditation. Les audits de première et de seconde partie, ainsi que ceux régis par les règles propres au propriétaire d'un référentiel (SMETA, amfori BSCI…), ne relèvent pas de la certification accréditée ; ils suivent les lignes directrices ISO 19011 et produisent un rapport. EUROLAB dispose d'accréditations internationalement reconnues selon l'ISO/IEC 17021-1 et l'ISO/IEC 17065, délivrées par des organismes signataires de l'accord IAF ; les audits pouvant être proposés sous périmètre accrédité sont confirmés par écrit au stade de l'offre.

• Audit de conformité sociale
• Audit environnemental
• Audit santé-sécurité
• Audit énergétique
• Audit de protection des données
• Audit ESG