|| Pour les services numériques ou systèmes d’information aux besoins de sécurité élémentaires, un audit de sécurité n’est pas nécessaire. <br> Pour les besoins de sécurité modérés, un audit de sécurité partiel est recommandé, a minima un test d’intrusion. <br> Pour les besoins de sécurité importants et élevés, un audit de sécurité complet est indispensable, a minima, un audit de code source, de configuration, d’architecture et un test d’intrusion.

À quoi sert un audit de sécurité ?

Sécuriser un service numérique ou un système d’information de manière adaptée et proportionnée aux risques identifiés est essentiel. Les mesures de sécurité mises en place dans ce but peuvent être de différentes natures : organisationnelles, physiques et techniques. Sur ce dernier volet, la mise en œuvre de produits de sécurité est certes fondamentale, mais elle ne suffit pas : l’absence d’application des mises à jour et des correctifs de sécurité, le maintien de mots de passe faibles ou constructeur, la mauvaise configuration de logiciels ou le non respect de règles élémentaires de sécurité lors du développement d’un logiciel ou d’une application sont autant de vulnérabilités exploitables par un attaquant.

L’audit de sécurité est l’un des moyens à disposition de tout organisme pour éprouver et s’assurer du niveau de sécurité de son système d’information. Il permet, en pratique de :
Mettre en évidence les forces mais surtout les faiblesses et vulnérabilités du système d’information.
D’identifier, à partir de ces conclusions, des axes d’amélioration, de proposer des recommandations et de contribuer ainsi à l’élévation de son niveau de sécurité, en vue, notamment, de son homologation de sécurité.

En quoi consiste un audit de sécurité ?

Un audit de sécurité peut comprendre plusieurs dimensions :

L’audit d’architecture qui consiste en la vérification de la conformité des pratiques de sécurité relatives au choix, au positionnement et à la mise en œuvre des dispositifs matériels et logiciels déployés dans un système d’information à l’état de l’art et aux exigences et règles internes de l’audité. L’audit peut être étendu aux interconnexions avec des réseaux tiers, et notamment Internet.

L’audit de configuration qui a pour vocation de vérifier la mise en œuvre de pratiques de sécurité conformes à l’état de l’art et aux exigences et règles internes de l’audité en matière de configuration des dispositifs matériels et logiciels déployés dans un système d’information. Ces dispositifs peuvent notamment être des équipements réseau, des systèmes d'exploitation (serveur ou poste de travail), des applications ou des produits de sécurité.

L’audit de code source consiste en l’analyse de tout ou partie du code source ou des conditions de compilation d’une application dans le but d’y découvrir des vulnérabilités, liées à de mauvaises pratiques de programmation ou des erreurs de logique, qui pourraient avoir un impact en matière de sécurité.

Le test d’intrusion dont la vocation est de découvrir des vulnérabilités sur le système d’information audité et de vérifier leur exploitabilité et leur impact, dans les conditions réelles d’une attaque sur le système d’information, à la place d’un attaquant potentiel. Un test d’intrusion seul n’a pas vocation à être exhaustif. D’autres activités d’audit permettent d’améliorer l’efficacité ou de démontrer la faisabilité de l’exploitation des failles et vulnérabilités découvertes à des fins de sensibilisation. Les tests de vulnérabilité, notamment automatisés, ne représentent pas à eux seuls une activité d’audit.

L’audit de l’organisation de la sécurité logique et physique visant à s’assurer que :
- Les politiques et procédures de sécurité définies par l’audité pour assurer le maintien en conditions opérationnelles et de sécurité d’une application ou de tout ou partie du système d’information sont conformes au besoin de sécurité de l’organisme audité, à l’état de l’art ou aux normes en vigueur ;
- Elles complètent correctement les mesures techniques mises en place ;
- Elles sont efficacement mises en pratique ;
- Les aspects physiques de la sécurité de l’application ou du système d’information sont correctement couverts.

Vous pouvez consulter pour information le référentiel d'exigences des prestataires d’audit de sécurité qualifiés (PASSI) par l’ANSSI.

Comment réaliser un audit de sécurité ?

Votre organisation peut se faire accompagner par un prestataire pour la réalisation d’un audit de sécurité partiel ou complet.
Vous pouvez notamment consulter la liste des prestataires d’audit de sécurité qualifiés (PASSI) par l’ANSSI.

Mis à jour le : 03/09/2024