Domaines de contrôle ISO/IEC 27001
Critères d’audit pour les domaines convenus de management et de contrôle de la sécurité de l’information ; il ne s’agit pas d’une certification.
Audits informatiques
Audits de sécurité informatique
Un audit à périmètre défini compare les contrôles documentés et effectivement appliqués aux critères convenus. Il identifie les lacunes et les priorités d’amélioration, mais ne confère pas à lui seul de certification.
Périmètre de l’évaluation
Éléments testés
La couverture définitive des tests est convenue lors de la définition du périmètre et se limite aux systèmes pour lesquels une autorisation écrite a été fournie.
Gouvernance de la sécurité et responsabilité des actifs
Gestion des identités et des accès
Configuration sécurisée et contrôle des changements
Gestion des vulnérabilités et des correctifs
Journalisation, surveillance, sauvegarde et restauration
Processus de gestion des fournisseurs, des incidents et de la continuité d’activité
Déroulement de la mission
Un processus maîtrisé, de l’autorisation au test de vérification.
01
Périmètre et autorisation
Définissez les objectifs, les systèmes approuvés, les contraintes, les créneaux de test, les contacts et les règles d’engagement.
02
Découverte
Définissez la surface d’attaque autorisée, l’architecture, les rôles utilisateurs, les actifs et les critères d’évaluation applicables.
03
Tests maîtrisés
Évaluez le périmètre approuvé à l’aide de méthodes manuelles et techniques adaptées à l’environnement.
04
Validation
Confirmez les constats en toute sécurité, éliminez les faux positifs et établissez les impacts concrets sur les plans technique et métier.
05
Production de rapports
Recevez des constats étayés par des preuves, une évaluation des risques, une synthèse destinée à la direction et des priorités de remédiation.
06
Examen des mesures de remédiation
Examinez les actions correctives proposées et clarifiez les priorités de mise en œuvre avec l’équipe d’évaluation.
07
Nouveau test
Vérifiez les corrections convenues et consignez, pour chaque constat testé, si le problème a été résolu, atténué ou reste ouvert.
Références de l’évaluation
Normes et recommandations sectorielles
CIS Controls
Mesures de protection hiérarchisées et examen des éléments probants relatifs aux contrôles techniques et opérationnels.
Cadre de cybersécurité du NIST
Mise en contexte des risques et des capacités pour les fonctions Gouverner, Identifier, Protéger, Détecter, Répondre et Rétablir.
CIS Benchmarks
Critères de configuration pour les systèmes sélectionnés, lorsqu’ils sont inclus dans le périmètre.
Les normes guident la définition du périmètre et de la couverture des tests. Une évaluation ne constitue pas en elle-même une certification et ne garantit pas la conformité.
Production de rapports
Ce que vous recevez
Déclaration du périmètre et des critères d’audit
Observations étayées par des preuves
Registre des lacunes des contrôles et des risques
Plan d’amélioration hiérarchisé
Présentation à la direction et revue ultérieure
Définissez un périmètre de test adapté.
Discutez des systèmes, des objectifs, du niveau d’accès et des éléments probants requis avec DIGITPOL.