Audits informatiques article

Ce que comprend un audit de sécurité informatique

Un audit de sécurité informatique évalue si les contrôles de gouvernance, techniques et opérationnels convenus sont conçus et fonctionnent comme prévu. Il consigne les éléments de preuve et les lacunes, mais ne confère pas à lui seul de certification.

Vue d’ensemble de l’évaluation

Contenu de l’évaluation

Objectifs de l’audit, périmètre métier, critères de contrôle, responsables des éléments probants et calendrier

Examen documentaire, entretiens, vérification des configurations et examen d’un échantillon d’éléments probants

Évaluation des contrôles de gouvernance, d’accès, de gestion des vulnérabilités, de journalisation, de résilience et de gestion des fournisseurs

Validation et classification des lacunes observées dans les mesures de contrôle et des risques associés

Définition du périmètre, observations, registre des risques, plan d’amélioration et présentation à la direction

Couverture des tests

Éléments examinés

La couverture définitive dépend des systèmes, des accès, des objectifs, des exclusions et des exigences de sécurité convenus.

Gouvernance de la sécurité et responsabilité des actifs

Gestion des identités et des accès

Configuration sécurisée et contrôle des changements

Gestion des vulnérabilités et des correctifs

Journalisation, surveillance, sauvegarde et restauration

Processus de gestion des fournisseurs, des incidents et de la continuité d’activité

Références sectorielles

Éléments guidant la couverture des tests

Domaines de contrôle ISO/IEC 27001

Critères d’audit pour les domaines convenus de management et de contrôle de la sécurité de l’information ; il ne s’agit pas d’une certification.

CIS Controls

Mesures de protection hiérarchisées et examen des éléments probants relatifs aux contrôles techniques et opérationnels.

Cadre de cybersécurité du NIST

Mise en contexte des risques et des capacités pour les fonctions Gouverner, Identifier, Protéger, Détecter, Répondre et Rétablir.

CIS Benchmarks

Critères de configuration pour les systèmes sélectionnés, lorsqu’ils sont inclus dans le périmètre.

Ces référentiels orientent l’évaluation. Les tests ne constituent pas en eux-mêmes une certification et ne garantissent pas la conformité.

Rapport final

Contenu du rapport

Le rapport est conçu aussi bien pour les décideurs que pour les équipes chargées de la remédiation.

Déclaration du périmètre et des critères d’audit

Observations étayées par des preuves

Registre des lacunes des contrôles et des risques

Plan d’amélioration hiérarchisé

Présentation à la direction et revue ultérieure

Discuter du périmètre et du rapport requis.

DIGITPOL confirmera les cibles, les contraintes, les besoins en matière de preuves et les exigences relatives aux rapports avant les tests.

Demander une évaluation