Security Audit Process

Study Notes

Définition et objectifs d'un audit de sécurité

Un audit de sécurité évalue le niveau de sécurité d'une organisation et de son système d'information
Il identifie les vulnérabilités du système d'information et examine la politique d'accès aux données et aux configurations réseau
Il propose des actions correctives et des recommandations

Objectifs d'un audit de sécurité

Évaluer les procédures et les mesures de sécurité en place
Identifier les failles de sécurité du système d'information
S'assurer de la protection des données contre la perte et le vol
Vérifier la conformité des procédures par rapport aux exigences d'une norme (par exemple ISO 27001)
Valider les configurations des systèmes et des réseaux en effectuant des tests d'intrusion et de vulnérabilités

Types d'audit de sécurité

Audit interne : mené par l'organisation elle-même pour s'auto-évaluer en termes de sécurité
- Peut être mené par des auditeurs internes ou externes
Audit externe : commandité par des tierces personnes pour examiner le degré de sécurité de l'organisation
- Mené par des auditeurs externes
Audit de certification : mené pour étudier le niveau de conformité de la sécurité du système d'information par rapport aux exigences définies par des normes

Phases d'un audit de sécurité

Phase 0 : Pré-audit
Phase 1 : Analyse de l'infrastructure existante
Phase 2 : Test d'intrusion
Phase 3 : Rédaction du rapport d'audit

Phase de pré-audit (Phase 0)

Définir le périmètre de l'audit et les sites de l'entreprise à analyser
Spécifier les objectifs à atteindre suite à la réalisation d'audit
Construire une équipe d'audit en tenant en considération le périmètre de l'audit et les compétences requises
Fixer les grandes lignes à suivre lors de la réalisation de l’audit
Planifier la mission de l'audit en spécifiant les étapes à réaliser, les tests à exécuter et les ressources nécessaires
Spécifier les rôles et les responsabilités de tous les intervenants
Acquérir une bonne connaissance des réglementations

Description

Learn about the process of conducting a security audit, including evaluating security levels, identifying vulnerabilities, examining data access policies, and providing corrective actions and recommendations based on the findings. Understand the importance of a security audit report in detailing discrepancies and outlining an action plan.