Fiche 04 — Audit de sécurité & conduite de certification

1. Typologie des audits (savoir les distinguer immédiatement)

Type	Objet	Référentiel
Audit de certification (tierce partie)	Certifier un système de management	ISO 27001 + ISO 17021/27006
Audit interne (1re partie)	Exigence cl. 9.2 d’ISO 27001	ISO 19011
Audit fournisseur / seconde partie	Évaluer un tiers	ISO 27036, questionnaire propre
Audit de conformité réglementaire	NIS2, DORA, RGPD	Texte + grille de contrôle
Audit organisationnel & physique	Politique, processus, locaux	PASSI (volet orga), ISO 27002
Audit d’architecture	Conception, cloisonnement, flux	Guides ANSSI, CIS
Audit de configuration	Durcissement d’un OS/AD/équipement	CIS Benchmarks, guides ANSSI
Audit de code	Vulnérabilités applicatives	OWASP ASVS, SAST
Test d’intrusion	Exploitation réelle	PTES, OWASP WSTG, PASSI
Red team / TLPT	Simulation d’adversaire, objectifs métier	TIBER-EU, MITRE ATT&CK

PASSI (Prestataire d’Audit de la Sécurité des SI) = qualification ANSSI, 5 activités : audit d’architecture, audit de configuration, audit de code source, tests d’intrusion, audit organisationnel et physique. Un cabinet peut être qualifié sur tout ou partie. → Question fréquente : « connaissez-vous PASSI ? » Réponse : citer les 5 activités.

2. ISO 19011 — conduire un audit proprement

Principes de l’audit : intégrité, présentation impartiale, conscience professionnelle, confidentialité, indépendance, approche fondée sur les preuves, approche par les risques.

Cycle :

Programme d’audit (pluriannuel, couvre tout le SMSI sur 1-3 ans, priorisé par les risques).
Déclenchement : objectifs, périmètre, critères d’audit, faisabilité.
Préparation : revue documentaire, plan d’audit (planning, interlocuteurs, salles), grille / checklist d’audit, échantillonnage.
Réalisation : réunion d’ouverture → collecte des preuves (entretien, observation, revue documentaire, test/rejeu) → réunion de clôture avec présentation des constats.
Rapport : constats factuels, tracés, référencés à une exigence, classés.
Suivi : plan d’action correctif (PAC), vérification de l’efficacité.

Classement des constats :

Non-conformité majeure : exigence non satisfaite de façon systémique / absente / défaillance entraînant un doute sérieux sur la capacité du SMSI → bloque la certification jusqu’à traitement.
Non-conformité mineure : écart isolé, ponctuel, sans impact systémique.
Opportunité d’amélioration / observation : non opposable.

Rédaction d’un constat (formule à réutiliser) :

Constat : « Lors de la revue de 10 comptes à privilèges (échantillon du 12/05), 3 comptes de prestataires partis depuis plus de 60 jours étaient toujours actifs (comptes X, Y, Z). » Exigence : ISO 27001 A.5.18 « Droits d’accès » / A.8.2. Type : non-conformité mineure (ou majeure si le processus de revue est inexistant).

→ Un bon constat contient : la preuve, la date, l’échantillon, l’exigence violée, l’impact. Jamais de jugement de personne, jamais la solution (ça, c’est la recommandation).

3. Le parcours de certification ISO 27001 (à savoir dérouler)

Cadrage & scope ──► Gap analysis ──► Analyse de risques ──► SoA + PTR
      │                                                        │
      └──► Corpus documentaire ◄── Mise en œuvre des mesures ◄──┘
                    │
      Sensibilisation + preuves d'exploitation (3-6 mois de « vécu »)
                    │
      Audit interne ──► Actions correctives ──► Revue de direction
                    │
      Audit de certification  Stage 1 (documentaire, ~1 j)
                              Stage 2 (sur site, efficacité)
                    │
      Levée des NC ──► CERTIFICAT (3 ans)
                    │
      Surveillance An+1, An+2 ──► Renouvellement An+3

Points de vigilance :

Il faut du vécu : un SMSI créé la veille ne passe pas le Stage 2 (pas de preuves d’audit interne, d’incidents traités, de revues d’accès, de revue de direction).
Choix de l’organisme certificateur : accrédité (COFRAC en FR), sectorialisation, disponibilité, coût. À anticiper 4-6 mois avant.
Charge type : 40-120 j/h de conseil selon taille et maturité, sur 9-18 mois.
Écueil n°1 : documentation « copiée-collée » non appliquée. L’auditeur teste l’efficacité, pas l’existence.

4. Audit d’un tiers / due diligence (très demandé)

Questionnaire standardisé : SIG (Shared Assessments), CAIQ (Cloud Security Alliance), grille maison alignée ISO 27002.
Vérifier les preuves et non les déclarations : certificat ISO (périmètre ! date !), rapport SOC 2 Type II et ses exceptions, rapport de pentest, plan de continuité, assurance cyber.
Analyser le périmètre du certificat : un certificat ISO 27001 couvrant « le siège social » ne couvre pas la plateforme SaaS. Piège classique, sache le mentionner.
Sortie : niveau de criticité du tiers, plan de remédiation contractualisé, clause d’audit.

5. Boîte à outils de l’auditeur

Grilles : ISO 27002:2022 (93 mesures), CIS Controls v8.1, hygiène ANSSI (42 mesures), NIST CSF 2.0.