Security Audit Process

Définition et objectifs d'un audit de sécurité

• Un audit de sécurité évalue le niveau de sécurité d'une organisation et de son système d'information
• Il identifie les vulnérabilités du système d'information et examine la politique d'accès aux données et aux configurations réseau
• Il propose des actions correctives et des recommandations

Objectifs d'un audit de sécurité

• Évaluer les procédures et les mesures de sécurité en place
• Identifier les failles de sécurité du système d'information
• S'assurer de la protection des données contre la perte et le vol
• Vérifier la conformité des procédures par rapport aux exigences d'une norme (par exemple ISO 27001)
• Valider les configurations des systèmes et des réseaux en effectuant des tests d'intrusion et de vulnérabilités

Types d'audit de sécurité

• Audit interne : mené par l'organisation elle-même pour s'auto-évaluer en termes de sécurité
  • Peut être mené par des auditeurs internes ou externes
• Audit externe : commandité par des tierces personnes pour examiner le degré de sécurité de l'organisation
  • Mené par des auditeurs externes
• Audit de certification : mené pour étudier le niveau de conformité de la sécurité du système d'information par rapport aux exigences définies par des normes

Phases d'un audit de sécurité

• Phase 0 : Pré-audit
• Phase 1 : Analyse de l'infrastructure existante
• Phase 2 : Test d'intrusion
• Phase 3 : Rédaction du rapport d'audit

Phase de pré-audit (Phase 0)

• Définir le périmètre de l'audit et les sites de l'entreprise à analyser
• Spécifier les objectifs à atteindre suite à la réalisation d'audit
• Construire une équipe d'audit en tenant en considération le périmètre de l'audit et les compétences requises
• Fixer les grandes lignes à suivre lors de la réalisation de l’audit
• Planifier la mission de l'audit en spécifiant les étapes à réaliser, les tests à exécuter et les ressources nécessaires
• Spécifier les rôles et les responsabilités de tous les intervenants
• Acquérir une bonne connaissance des réglementations