Alors, on vient de vous dire « Nous avons besoin d’un audit de sécurité » (Ne paniquez pas, prenez un café)
Ce moment où un client ou votre patron lâche le mot magique et soudain votre agenda ressemble à une bombe à retardement. J’y suis passé, fixant une page blanche sans savoir par où commencer. Bonne nouvelle : le monde de l’audit de sécurité de l’information et du conseil en conformité internationale n’est pas un art obscur – c’est plutôt comme un ami un peu obsessionnel qui veut que tout soit étiqueté, verrouillé et consigné.
Revenons quelques années en arrière. J’étais assis en face d’une directrice générale de startup qui venait de perdre un contrat important parce qu’elle ne pouvait pas fournir un rapport d’audit SOC 2. Elle était frustrée : « On a des pare-feux, on forme notre équipe, qu’est-ce qu’ils veulent de plus ? » C’est là que j’ai réalisé quelque chose de crucial : la plupart des organisations n’échouent pas en matière de sécurité, elles échouent à la prouver. Et c’est exactement là qu’un bon partenaire en conseil en conformité cybersécurité entre en jeu, non pas pour refondre toute votre pile technologique, mais pour traduire ce que vous faites déjà bien dans un langage que les auditeurs et les régulateurs comprennent.
Vous voyez, un audit de sécurité de l’information n’est pas simplement un examen technique approfondi. C’est une histoire sur la façon dont votre organisation protège les données, et chaque cadre normatif raconte cette histoire différemment. Quand on me demande comment préparer un audit ISO 27001, je réponds : « Avez-vous un système de management cohérent, ou juste un ensemble d’outils ? » La norme s’intéresse au contexte, à l’engagement de la direction, aux évaluations des risques et à l’amélioration continue. Ce n’est pas une liste de contrôle que l’on peut expédier un vendredi après-midi. Mais voilà : si vous avez toujours bien géré votre organisation, vous êtes probablement déjà à 60 % sans le savoir. Cette politique de contrôle d’accès enfouie dans votre wiki ? C’est de l’or. Votre processus d’intégration/départ ? C’est une preuve. Un audit ISO 27001 adore quand vous pouvez relier les points entre ce que vous dites faire et ce qui se passe réellement.
Ensuite, il y a la voie du conseil en conformité RGPD, qui ressemble moins à un audit qu’à un débat philosophique sur les droits des personnes concernées. J’ai travaillé un jour avec une agence de marketing qui pensait que le RGPD se résumait à mettre une bannière de consentement sur son site web. Deux jours après le début de nos sessions de conseil en conformité RGPD, nous avions cartographié 47 flux de données différents, découvert qu’elle stockait sans raison des CV de candidats vieux de cinq ans, et complètement repensé sa logique d’inscription à la newsletter. L’angle du conseil en conformité internationale compte ici parce que les lois sur les données ne sont plus seulement européennes – le Brésil, la Californie, l’Inde… toutes reprennent les mêmes thèmes. Si vous abordez la vie privée comme une stratégie commerciale plutôt qu’un exercice de cases à cocher, vous arrêtez de vous inquiéter des amendes et commencez à bâtir la confiance.
Maintenant, comment se préparer à un audit de sécurité – la question que l’on me pose au moins trois fois par semaine. Ma réponse est d’une simplicité agaçante : ne vous préparez pas à l’audit, adoptez un mode de vie qui consiste à collecter des preuves. Commencez par une grille de vérification d’audit de sécurité informatique qui va au-delà du classique « vos serveurs sont-ils patchés ? ». Incluez des éléments comme : Pouvez-vous retrouver la date exacte de votre dernière revue des accès utilisateurs ? Votre plan de réponse aux incidents est-il stocké à un endroit réellement accessible pendant un incident, ou seulement sur le bureau de Bob ? Avez-vous des enregistrements de conformité aux tests d’intrusion qui montrent que vous n’avez pas seulement exécuté un test mais que vous avez aussi corrigé les constats ? Honnêtement, les auditeurs préfèrent un calendrier de correction à un rapport initial parfait. J’ai vu des entreprises échouer à un audit SOC 2 parce qu’elles ne pouvaient pas démontrer la surveillance de leurs environnements cloud, et non parce qu’une violation avait eu lieu. La preuve de l’action l’emporte toujours sur la perfection.
Justement, en parlant d’audit SOC 2, c’est le ticket chaud en ce moment dans la tech. Tout le monde veut ce rapport sur les critères de services de confiance, mais on sous-estime le périmètre. Un audit SOC 2 examine vos contrôles sur une période – souvent six mois ou plus – donc impossible de bricoler les logs de la semaine dernière. Sa beauté réside dans le fait qu’il n’est pas prescriptif comme la PCI DSS ; vous définissez vous-même vos critères basés sur la sécurité, la disponibilité, la confidentialité, l’intégrité du traitement ou la vie privée. Votre conseiller en conformité cybersécurité devient alors un traducteur : aider le client à exprimer ce à quoi ressemble le « bien » pour lui, puis le prouver de manière cohérente. Je me souviens d’une entreprise SaaS qui pensait que la disponibilité se résumait à la supervision du temps de disponibilité ; nous avons dû passer en revue la planification des capacités, les tests de restauration des sauvegardes et cette fameuse alerte qui part toujours sur un bipeur que plus personne ne porte. Que de bons souvenirs.
Un domaine souvent négligé dans tout cela est la formation à l’audit de sécurité de l’information. Inutile que toute votre équipe devienne auditrice, mais si vos ingénieurs et spécialistes produits comprennent le pourquoi derrière la liste de contrôle, la vie devient infiniment plus facile. J’ai animé des sessions de formation à l’audit de sécurité de l’information où les développeurs commençaient en râlant et finissaient enthousiastes parce qu’ils réalisaient qu’il ne s’agit pas de brider la créativité – il s’agit de faire en sorte que le « correctif rapide » de quelqu’un d’autre ne devienne pas le fait divers de demain. Quand toute votre équipe peut repérer une lacune de contrôle avant un auditeur externe, vous ne vous contentez pas de réussir les audits, vous construisez de la résilience. Et c’est bien moins cher qu’une remédiation après coup.
Parlons de la conformité aux tests d’intrusion, car c’est un écueil fréquent. Les gens font un test d’intrusion, reçoivent un rapport de 60 pages, corrigent les critiques et passent à autre chose. Mais de nombreux cadres normatifs exigent la preuve d’un test d’intrusion conforme à une méthodologie comme PTES ou OSSTMM, réalisé par des testeurs qualifiés, avec un périmètre clair couvrant l’environnement audité. Si le périmètre de votre audit SOC 2 inclut un nouveau microservice traitant les paiements, et que votre dernier test d’intrusion ne visait que votre site corporate, attendez-vous à une non-conformité. La partie conformité des tests d’intrusion implique de documenter la prise de décision : pourquoi vous avez testé ce que vous avez testé, ce que vous avez exclu, quand le nouveau test a eu lieu. C’est une paperasse ennuyeuse, mais c’est ce qui transforme un exercice technique en preuve d’audit.
Au fil du temps, j’ai cessé de considérer l’audit de sécurité de l’information et le conseil en conformité internationale comme des projets distincts. Ce sont toutes les facettes d’un même joyau : démontrer que votre entreprise se soucie des données qu’elle détient. Qu’il s’agisse d’une grille de vérification d’audit de sécurité informatique pour une association locale ou d’un engagement pluriannuel mêlant audit ISO 27001, conseil en conformité RGPD et audit SOC 2 simultanément, le cœur du sujet reste la communication honnête. Il ne s’agit pas de tromper qui que ce soit : vous montrez votre travail, avec ses défauts et tout, et un plan pour arranger ce qui ne va pas.
Alors, la prochaine fois qu’on vous dira « soyez conforme » pour le prochain trimestre, commencez par une conversation – de préférence avec quelqu’un qui en a déjà vu quelques-unes. Cartographiez le cadre normatif qui s’applique réellement, rassemblez d’abord les preuves les plus faciles à obtenir, et traitez cela comme un grand ménage de printemps plutôt qu’un interrogatoire. Parce que les entreprises qui traversent facilement un audit de sécurité de l’information ne sont pas celles qui ont les outils les plus sophistiqués. Ce sont celles qui ont fait de la sécurité une partie de leur rythme quotidien bien avant qu’on ne le leur demande.