Maîtriser les typologies d’audits à préparer selon vos besoins

Vous venez de prendre vos fonctions en tant que RSSI d’une petite collectivité locale. Il s’agit d’une création de poste. Vous devez définir les chantiers cybersécurité prioritaires à traiter sur l’année. 

Pour cela, vous souhaitez obtenir un état des lieux du niveau de sécurité actuel du SI et de la maturité des processus cybersécurité existants. 

Quelle combinaison d’audits et de contrôles choisissez-vous ?

• • Un test d’intrusion et une revue organisationnelle

• • Un test d’intrusion et une revue de configuration

• • Une opération Red Team et une revue organisationnelle

Answer explanation

Dans ce contexte, la maturité cybersécurité semble trop faible pour tirer pleinement partie d’une opération Red Team, souvent coûteuse. Un test d’intrusion peut être suffisant pour identifier les défauts de sécurité prioritaires à traiter. 

Seule la revue organisationnelle permet d’identifier la maturité des processus cybersécurité existants. 

Vous êtes adjoint du RSSI d’un grand site de e-commerce. Le site est développé en mode Agile à l’aide d’une chaîne d’intégration et de déploiement continus. Vous réalisez actuellement 2 tests d’intrusion par an. La sécurité du site étant l’une des priorités de l’entreprise, les vulnérabilités identifiées sont à chaque fois traitées dans un temps très court par les équipes.

Le RSSI vous demande de vous assurer que chaque sprint de développement ne cause pas dans le code de nouvelles vulnérabilités qui pourraient être exploitées par un attaquant sur Internet.

Quels types d’audits ou de contrôles préconisez-vous ?

• • Une revue de code

• • Un Bug Bounty

• • Des scans de code

• • Des scans de vulnérabilité

Answer explanation

Le site existe déjà, son niveau de sécurité actuel est connu grâce aux tests d’intrusion, et de nouvelles versions sont déployées de manière continue. Un audit ponctuel n’est donc pas adapté à ce contexte, ce qui est le cas de la revue de code.

Votre entreprise dans le secteur de l’énergie veut acquérir une entreprise de construction de panneaux solaires. Le processus de “due diligence” est en cours afin d'effectuer l’ensemble des vérifications nécessaires à la fusion.

Après la fusion, il sera nécessaire d’interconnecter les SI des deux entreprises afin que les nouveaux employés puissent accéder à vos ressources. Vous souhaitez vous assurer que ce raccordement ne mettra pas en risque votre SI d’un point de vue cybersécurité. 

Quels types d’audits ou de contrôles proposez-vous de réaliser pour obtenir cette assurance ?

• • Une revue organisationnelle

• • Un test d’intrusion

• • Des scans de vulnérabilité

• • Un audit de PAS

Answer explanation

L’audit de PAS n’est pas adapté, car à ce stade aucun contrat ne vous lie à cette entreprise, il n’y a donc pas de clauses de sécurité à évaluer.

La revue organisationnelle peut compléter la vision des tests d’intrusion en évaluant les processus mis en place par l’entreprise pour maîtriser le risque cybersécurité.

Vous avez souscrit à un service SOC pour votre entreprise. Les scénarios de détection ont été définis et implémentés, de même que les processus de traitement des alertes et d’escalade. Vous souhaitez vérifier que le SOC vous permettra bien de détecter une attaque qui toucherait vos actifs SI les plus sensibles.

Quel type d’audit ou de contrôle pourrait vous éclairer ?

• • Un test d’intrusion

• • Une revue organisationnelle

• • Une opération Red Team

Answer explanation

Le test d’intrusion évaluera la robustesse de votre SI, mais pas nécessairement vos capacités de détection en cas d’attaque réelle. La revue organisationnelle peut vous permettre de vérifier que le SOC est correctement organisé pour détecter les attaques, mais pas que la mise en œuvre technique de la détection est efficace.

Seule l’opération Red Team peut vous permettre d’évaluer les capacités de détection de votre SOC en situation réelle. Il sera nécessaire de bien définir l’objectif avec les auditeurs afin de cibler vos actifs les plus critiques.

Vous souhaitez mettre en place un comité cybersécurité mensuel au sein de votre entreprise afin de suivre et de piloter l’état de sécurité de votre SI.

Pour cela, vous souhaitez construire un tableau de bord avec différents indicateurs, dont : le niveau d’obsolescence du SI, le nombre de serveurs dont la configuration est en écart avec la PSSI, le pourcentage de postes de travail ayant les dernières mises à jour installées.

Quels types d’audits ou de contrôles pourraient vous permettre d’alimenter ce tableau de bord ?

• • Scans de conformité

• • Scans de vulnérabilité

• • Autocontrôles SSI

• • Cartographies des actifs

Answer explanation

Étant donné le caractère récurrent de ce comité, une approche continue est la plus appropriée.

Les autocontrôles SSI ne sont pas adaptés, car vous souhaitez obtenir des métriques précises sur l’état de sécurité réel du SI. Une approche technique est donc préconisée ici.

Une combinaison de scans de conformité, de scans de vulnérabilités et de cartographies des actifs vous permettra de remonter ces indicateurs de manière continue.  

Le contrat avec votre principal fournisseur SI arrive à son terme, et le DSI souhaite le renouveler pour les 2 prochaines années.

Vous souhaitez profiter de cette opportunité pour vérifier que le fournisseur respecte bien les clauses cybersécurité qu’il a signées dans le plan d’assurance sécurité il y a 2 ans, lorsqu’il a remporté le contrat.

Quel type d’audit ou de contrôle proposez-vous de réaliser pour obtenir cette assurance ?

• • Une revue organisationnelle

• • Un audit de PAS

• • Un test d’intrusion

Answer explanation

Dans ce cas d’usage, l’audit de PAS répond parfaitement au besoin. Il sera bien sûr nécessaire de demander au fournisseur l’ensemble des preuves permettant de valider la conformité au contrat.

Vous êtes auditeur cybersécurité au sein d’un groupe du secteur de la logistique. Ce groupe compte plusieurs centaines de filiales dans le monde. Chaque filiale possède sa propre organisation et son propre SI. Un référentiel cybersécurité est cependant défini pour tout le groupe.

Vous souhaitez vérifier chaque année que toutes les filiales appliquent bien le référentiel cybersécurité du groupe.

Quel type d’audit ou de contrôle proposez-vous de réaliser pour cela ?

• • Revue organisationnelle

• • Autocontrôle SSI

• • Revue de configuration

• • Scan de conformité

Answer explanation

Dans cette situation, les autocontrôles SSI sont votre meilleure option. Si certaines filiales présentent des enjeux particulièrement importants pour le groupe, il peut être opportun de réaliser une revue organisationnelle, voire des tests d’intrusion, pour compléter l’évaluation.

Vous êtes RSSI d’une entreprise qui propose un service de paiement en ligne. Vous venez d’obtenir la certification PCI-DSS.

Vos actifs SI certifiés sont isolés dans une zone réseau dédiée, avec des firewalls en entrée qui filtrent tout le trafic entrant et sortant. La maîtrise de la configuration de ces firewalls est essentielle pour conserver votre certification.

Quel type d’audit ou de contrôle proposez-vous de réaliser pour conserver cette certification ?

• • Scans de conformité

• • Scans de vulnérabilité

• • Scans de code

• • Bug Bounty

Answer explanation

Nous sommes bien sûr ici sur une approche continue. En effet, le SI vient d’être certifié PCI-DSS, il respecte donc à date les exigences. Le scan de vulnérabilité vous permettra de vérifier que les composants sont à jour, mais pas si les configurations des firewalls respectent les exigences de PCI-DSS. De même, le scan de code ou le Bug Bounty ne permettent pas de vérifier la configuration des firewalls. 

Dans ce cas, la meilleure option est le scan de conformité, à mettre en place sur vos firewalls.