Audit de sécurité : comment auditer mon système d’information ?

Vous craignez qu’il existe des failles dans votre système d’information ? Vous pensez que certaines de vos données ne sont pas correctement protégées ? Peut-être est-il temps de réaliser un audit de sécurité de votre SI !

Réaliser régulièrement des audits de sécurité est la clé pour sécuriser les données de votre organisation. Alors, qu’est-ce qu’un audit de sécurité informatique ? Quand le pratiquer ? Pourquoi ? Et surtout : comment le mettre en place ?

Audit de sécurité informatique : de quoi s’agit-il ?

Audit de sécurité : définition

Un audit de sécurité informatique est une évaluation du niveau de sécurité du système d’information (SI) de l’entreprise. Ce diagnostic vise à révéler d’éventuelles failles de sécurité, susceptibles de compromettre les activités de l’entreprise. Il permet de connaître le niveau de sécurité de l’entreprise à un instant T, en fonction de ses enjeux et de ses besoins. En effet, en fonction des secteurs et des organisations, les enjeux de sécurité ne sont pas les mêmes.

Lors de l’audit de sécurité, l’état du système d’information de l’entreprise est comparé à un référentiel, qui permet d’évaluer le degré de conformité du SI vis-à-vis de la politique de sécurité de l’entreprise. Pour ce faire, le SI est audité sur les plans technique et organisationnel, afin de révéler concrètement la surface de vulnérabilité et mettre à l’épreuve la cyber résilience de l’entreprise. L’audit permet ensuite d’orienter la stratégie et le plan d’action de l’organisation en matière de cybersécurité, afin de maîtriser et réduire les risques.

L’évaluation des risque cyber sous-tend que l’analyse soit présentée aux Dirigeants et, s’il existe, au comité d’audit. Un plan d’action pluriannuel peut alors être établi en fonction des résultats de l’évaluation.

Certains audits seront à réaliser plus fréquemment que d’autres, selon l’urgence et la nature des activités.

Pourquoi réaliser un audit de sécurité ?

L’audit de sécurité informatique recouvre plusieurs objectifs :

• Identifier les besoins et enjeux de sécurité propres à l’organisation ;
• Evaluer le niveau de maturité du système d’information (architecture réseau, configuration, accès…) ;
• Evaluer les vulnérabilités du SI, pour connaître les surfaces de vulnérabilité (fuites de données, intrusions…) ;
• Dans certains cas, vérifier la conformité du SI vis-à-vis des réglementations en vigueur ;
• Evaluer la politique de sécurité du SI (PSSI) afin d’identifier les éventuelles lacunes ou faiblesses de l’entreprise ;
• Si besoin, redéfinir les exigences de sécurité ;
• Etablir un plan d’action qui assure des mesures de sécurité cohérentes en réduisant les efforts pour répondre aux menaces et incidents ;
• En cas d’audit de sécurité périodique, évaluer l’évolution du degré de maturité de l’entreprise.

Audit de sécurité : pour qui ?

Contrairement à ce que l’on pourrait penser, l’audit de sécurité informatique n’est pas réservé aux grandes entreprises. Il concerne toutes les organisations, de la TPE au grand groupe. En effet, en 2022, 45% des entreprises françaises ont été cyberattaquées (baromètre de la sécurité en entreprise, CESIN).

L’interruption de service suivant une cyberattaque a un impact direct sur le chiffre d’affaires annuel de l’entreprise. Aussi, en moyenne, une entreprise attaquée perd 27% de son chiffre d’affaires annuel. Les PME peinent quant à elles à se relever d’une cyberattaque : 60% d’entre elles déposent le bilan dans les 18 mois suivant une attaque.

Autre chiffre intéressant : le rapport IT Security Economics de Kaspersky (2022), révèle que les PME de plus de 50 salariés et les grandes entreprises européennes prévoient d’augmenter leurs budgets en sécurité informatique de 10% sur les trois prochaines années.

Vous l’aurez compris : le niveau de sécurité du SI est important pour toute entreprise. L’audit de sécurité informatique est alors crucial : il permet d’avoir connaissance des menaces pour l’entreprise et de ses capacités de résilience, pour pouvoir engager des actions de remédiation adaptées.

Quand réaliser un audit de sécurité informatique ?

Même s’il n’existe pas de règle en la matière, il est conseillé de réaliser un audit de sécurité informatique annuellement. Cette périodicité permet de détecter de nouvelles failles potentielles, et de s’assurer de la montée en maturité du SI de l’entreprise.

Audit de sécurité : 5 étapes pour auditer votre SI

1. Le cadrage de l’audit

La première étape consiste à cadrer l’audit de sécurité :

• Quels sont les enjeux de sécurité de l’entreprise ?
• Quels sont les objectifs de l’audit de sécurité informatique ?
• Quel référentiel sera utilisé ? (ISO 27x, Guide Hygiène ANSSI, RGPD, SOC2, référentiel propre à une industrie tel que le TISAX pour l’automobile, la santé…)
• Sur quel périmètre portera l’audit ?
• Comment l’audit sera-t-il effectué ?
• Etc.

Ce cadrage vise à définir le projet d’audit, afin d’établir la méthodologie la plus adaptée. Il permet également de s’assurer que la démarche est partagée et que toutes les parties prenantes sont informées et impliquées dans l’audit de sécurité.

2. L’analyse du SI

Une fois le cadrage effectué, place à l’action ! Il est temps d’évaluer le niveau de sécurité du système d’information de l’entreprise. La deuxième étape consiste alors à analyser le SI, au regard des enjeux métiers et financiers de l’organisation. Plusieurs méthodes et outils d’audit de sécurité informatique sont utilisés :

1. Les entretiens. L’auditeur interroge différents acteurs de l’entreprise (direction, équipes IT, équipes métier…) pour connaître les usages et les pratiques du SI.
2. L’analyse documentaire.
3. Les tests. L’auditeur procède à différents tests afin de connaître la surface d’attaque réelle et les failles de vulnérabilité internes et externes, au-delà de la connaissance que peut avoir l’équipe interne.

Point d’attention : si les tests d’intrusion sont très souvent attendus, ils ne sont pas les plus signifiants, car ils se focalisent sur le seul aspect technique. L’audit de vulnérabilité et l’audit organisationnel et technique sont plus efficaces et permettent de mieux connaître les problématiques de l’entreprise.

• L’étude de configuration : annuaire, gestion des utilisateurs, habilitations, gestion des accès…
• L’analyse du partage et transfert de données. L’auditeur analyse la sécurisation de vos échanges de données avec des tiers (filiales, sous-traitants, fournisseurs, hébergeurs, infogéreurs…). Il peut éventuellement être amené à auditer ces tiers pour contribuer à bâtir un écosystème sécurisé.

Pour chacune de ces étapes, certaines bonnes pratiques doivent être respectées : pratiques liées à la norme ISO19011 et à la déontologie, approche par le risque, restitution objective, confidentialité, approche fondée sur la preuve et conscience professionnelle notamment.

3. La phase de restitution

Lorsque l’analyse des différents éléments est terminée, l’auditeur procède à une phase de restitution et présente les résultats de l’audit. Cette phase se déroule généralement en plusieurs étapes. L’auditeur commence par présenter les conclusions de l’audit de sécurité aux équipes impliquées dans le projet. Il s’assure ainsi de la pertinence des résultats. Dès que les différents points sont validés par l’équipe projet, la restitution est présentée à la direction, puis aux équipes techniques.

4.  Le plan d’action

Avoir des résultats, c’est bien. Être en mesure de les exploiter, c’est mieux ! Ainsi, un audit de sécurité bien mené ne se termine pas à la phase de restitution. Le plus important consiste à corriger les failles identifiées pour réduire les risques. L’étape suivante vise donc à établir un plan d’action concret, qui détaille la mise en place des recommandations de l’auditeur.

Quelles sont les priorités ? Comment les mettre en place opérationnellement, tout en respectant le budget et les enjeux de l’entreprise ? Certaines conclusions de l’audit nécessitent-elles des études complémentaires ? En somme, comment l’entreprise doit-elle procéder pour améliorer la sécurité de son système d’information ? Tel est l’objectif du plan d’action.

5. La mise en place

Dernière étape : la mise en place. Les recommandations de l’auditeur et le plan d’action n’ont de valeur que s’ils sont suivis. Ainsi, l’audit de sécurité n’a de véritable intérêt que s’il débouche sur une phase corrective opérationnelle. Tout l’enjeu consiste à faire évoluer le niveau de maturité de sécurisation du SI, en appliquant progressivement et continuellement les mesures, dans une démarche d’amélioration continue.

Netsystem, le partenaire idéal pour votre audit de sécurité informatique

Vous savez désormais comment auditer votre système d’information. Il ne reste plus qu’à choisir le partenaire idéal pour mener ce projet à vos côtés… Et si vous faisiez confiance à Netsystem ?

Netsystem est une société de conseil en Systèmes d’Information et en transformation digitale, intervenant auprès d’organisations privées et publiques. Nous avons développé une méthodologie éprouvée, permettant de s’appuyer sur un cadre solide conforme aux réglementations, tout en proposant des solutions adaptées à chaque situation. Nos consultants expérimentés sont en mesure de s’adapter à chaque contexte, problématique économique, enjeu métier et objectif de croissance. Plus que de réaliser un audit de sécurité informatique, ils vous accompagnent dans la mise en place de bonnes pratiques pour une sécurité optimale de votre système d’information. Vous souhaitez en savoir plus ? Contactez-nous !