Qu'est-ce que ce certificat ?

Une évaluation de la cybersécurité est un examen indépendant de la situation de sécurité d'une organisation ou d'un système. Il n'est pas nécessaire qu'il soit lié à un programme de certification spécifique : les tests d'intrusion, l'évaluation de la vulnérabilité, l'examen de l'architecture, l'évaluation de la maturité (par exemple NIST CSF, CIS Controls) ou un exercice d'équipe rouge relèvent tous de cette rubrique. Le résultat est un rapport de conclusions et de recommandations, et non un certificat.

À qui s'adresse-t-il ?

Organisations souhaitant mesurer leur posture de sécurité
Entreprises souhaitant une analyse des écarts avant la certification
Entreprises ayant une obligation contractuelle de tests d’intrusion périodiques
Équipes souhaitant vérifier un nouveau système ou produit avant de le mettre en ligne
Les organisations réévaluent leur posture après un incident

Est-il obligatoire ?

Pas obligatoire en soi. Cependant, de nombreux cadres et réglementations imposent une obligation de tests périodiques : la norme PCI DSS exige des tests d'intrusion et des analyses, la norme ISO/IEC 27001 prévoit un examen de conformité technique et des réglementations telles que NIS2 exigent que l'efficacité des mesures de gestion des risques soit évaluée.

Domaine d'application de la norme

Définir le périmètre et les règles d’engagement
Compilation de l'inventaire des actifs et de la surface d'attaque
Analyse et validation des vulnérabilités
Tests d'intrusion : réseau externe, réseau interne, application web, application mobile, sans fil
Revue de configuration et de durcissement
Revue de la gestion des identités et des accès
Évaluation de l'architecture et de la segmentation
Ingénierie sociale et tests de sensibilisation (si cela relève du champ d'application)
Évaluation de la maturité (par rapport à des frameworks tels que NIST CSF, CIS Controls)
Hiérarchisation et communication des résultats par niveau de risque
Tests de vérification après correction

Processus de certification

1Détermination de la portée et du programmeLes sites et les processus à auditer, ainsi que la durée de l'audit requise par le programme, sont déterminés.
2Pré-évaluationUne analyse des écarts est éventuellement effectuée ; les lacunes deviennent visibles avant l’audit principal.
3Audit sur siteL'examen des dossiers, l'observation du site et les entretiens avec les travailleurs sont effectués par rapport à la liste de contrôle du programme.
4Restitution des constatsLes résultats sont rapportés selon la classification du programme. Le résultat de ces programmes est un rapport d’audit et non un certificat.
5Actions correctives et suiviUn plan d'actions correctives est soumis aux constats ; il est clôturé par un audit de suivi dans le cadre du programme.

Durée de validité

La durée de validité des rapports d'audit est fixée par le régime et se situe généralement entre un et deux ans. Le rapport est utilisé pour la période acceptée par la marque acheteuse.

Documents requis

Détails de l'organisation et du site
Effectif et répartition des équipes
Permis et licences légaux
Politiques et procédures pertinentes
Registres de paie, de temps et du personnel

Coût de la certification

Il n'y a pas de tarif catalogue fixe; le coût est calculé selon les variables suivantes et fourni par écrit dans le devis.

Le nombre de sites à auditer et l'effectif
La durée d’audit prescrite par le programme
Si une pré-évaluation (analyse des lacunes) est demandée
Si un audit de suivi est requis

Accréditation

La plupart de ces systèmes produisent des rapports d'audit, et non des documents, et sont soumis au propre système d'approbation du propriétaire du système (par exemple Sedex, amfori, RBA) ; L'accréditation au sens classique du terme n'est pas présente dans tous les systèmes. La compétence de l'auditeur et la validité du rapport sont déterminées par les règles du propriétaire du système.

Le périmètre dans lequel ce schéma peut être proposé varie selon votre produit et votre activité; il est confirmé par écrit au stade du devis.

Portée et autorisations

Certifications associées

Questions fréquentes

Un test d’intrusion et une analyse de vulnérabilité sont-ils la même chose ?

Non. Une analyse de vulnérabilité répertorie les faiblesses connues à l’aide d’outils automatisés. Un test d'intrusion vérifie avec l'expertise humaine si ces résultats sont réellement exploitables et découvre des chemins d'attaque en chaîne. Les deux diffèrent en profondeur et en coût.

Est-ce que je reçois un certificat à la suite de l’évaluation ?

Aucun certificat n'est délivré ; un rapport de constatations et de recommandations est produit. Certains clients demandent une lettre d'attestation confirmant que le test a été effectué, mais il ne s'agit pas d'un certificat de conformité.

À quelle fréquence dois-je faire cela ?

La fréquence dépend du cadre auquel vous êtes soumis et de votre rythme de changement. La pratique courante est un test annuel ; cependant, un test intermédiaire est attendu chaque fois qu'il y a un changement significatif dans l'architecture ou l'application.

Évaluation de la cybersécurité (Cybersecurity Assessment)