> ## Knowledge Base Index
> Fetch the complete knowledge base index at: https://aide.monservicesecurise.cyber.gouv.fr/sitemap.xml
> Use this file to discover available pages before exploring further.
> Pure-Markdown content can be obtained by appending a '.md' suffix to the content URLs listed in the sitemap (without the trailing slash).

# 📝 Réaliser un audit de la sécurité du service

|| Pour les services numériques ou systèmes d’information aux besoins de sécurité élémentaires, un audit de sécurité n’est pas nécessaire. <br> Pour les besoins de sécurité modérés, un audit de sécurité partiel est recommandé, a minima un test d’intrusion. <br> Pour les besoins de sécurité importants et élevés, un audit de sécurité complet est indispensable, a minima, un audit de configuration, d’architecture et un test d’intrusion.



# À quoi sert un audit de sécurité ?

**Sécuriser un service numérique ou un système d’information de manière adaptée et proportionnée aux risques identifiés est essentiel.** Les mesures de sécurité mises en place dans ce but peuvent être de différentes natures : organisationnelles, physiques et techniques. Sur ce dernier volet, la mise en œuvre de produits de sécurité est certes fondamentale, mais elle ne suffit pas : l’absence d’application des mises à jour et des correctifs de sécurité, le maintien de mots de passe faibles ou constructeur, la mauvaise configuration de logiciels ou le non respect de règles élémentaires de sécurité lors du développement d’un logiciel ou d’une application sont autant de vulnérabilités exploitables par un attaquant.

**L’audit de sécurité est l’un des moyens à disposition de tout organisme pour éprouver et s’assurer du niveau de sécurité de son système d’information. Il permet, en pratique de :**
* Mettre en évidence les forces mais surtout les faiblesses et vulnérabilités du système d’information. 
* D’identifier, à partir de ces conclusions, des axes d’amélioration, de proposer des recommandations et de contribuer ainsi à l’élévation de son niveau de sécurité, en vue, notamment, de son homologation de sécurité.

![](https://storage.crisp.chat/users/helpdesk/website/cc500b262ef18000/communaute-10_1v2prcy.png)

# En quoi consiste un audit de sécurité ?
**Un audit de sécurité peut comprendre plusieurs dimensions :**

* **L’audit d’architecture** qui consiste en la vérification de la conformité des pratiques de sécurité relatives au choix, au positionnement et à la mise en œuvre des dispositifs matériels et logiciels déployés dans un système d’information à l’état de l’art et aux exigences et règles internes de l’audité. L’audit peut être étendu aux interconnexions avec des réseaux tiers, et notamment Internet.

* **L’audit de configuration** qui a pour vocation de vérifier la mise en œuvre de pratiques de sécurité conformes à l’état de l’art et aux exigences et règles internes de l’audité en matière de configuration des dispositifs matériels et logiciels déployés dans un système d’information. Ces dispositifs peuvent notamment être des équipements réseau, des systèmes d'exploitation (serveur ou poste de travail), des applications ou des produits de sécurité.

* **L’audit de code source** consiste en l’analyse de tout ou partie du code source ou des conditions de compilation d’une application dans le but d’y découvrir des vulnérabilités, liées à de mauvaises pratiques de programmation ou des erreurs de logique, qui pourraient avoir un impact en matière de sécurité.

* **Le test d’intrusion** dont la vocation est de découvrir des vulnérabilités sur le système d’information audité et de vérifier leur exploitabilité et leur impact, dans les conditions réelles d’une attaque sur le système d’information, à la place d’un attaquant potentiel. Un test d’intrusion seul n’a pas vocation à être exhaustif. D’autres activités d’audit permettent d’améliorer l’efficacité ou de démontrer la faisabilité de l’exploitation des failles et vulnérabilités découvertes à des fins de sensibilisation. Les tests de vulnérabilité, notamment automatisés, ne représentent pas à eux seuls une activité d’audit.

* **L’audit de l’organisation de la sécurité logique et physique** visant à s’assurer que :
    * Les politiques, procédures, processus organisationnels et mesures de sécurité définis par l’audité pour assurer le maintien en conditions opérationnelles et de sécurité d’une application ou de tout ou partie du système d’information sont conformes au besoin de sécurité de l’organisme audité, à l’état de l’art ou aux normes en vigueur ;
    * Les politiques et procédures complètent correctement les mesures techniques mises en place ;
    * Les politiques et procédures sont efficacement mises en pratique ;
    * Les processus physiques liés à la sécurité de l’application ou du système d’information sont correctement couverts.

Vous pouvez consulter pour information [le référentiel d'exigences des prestataires d’audit de sécurité qualifiés (PASSI) par l’ANSSI.](https://cyber.gouv.fr/referentiels-dexigences-pour-la-qualification)

# Comment réaliser un audit de sécurité ?

Votre organisation peut se faire accompagner par un prestataire pour la réalisation d’un audit de sécurité partiel ou complet.
Vous pouvez notamment consulter [la liste des prestataires d’audit de sécurité qualifiés (PASSI) par l’ANSSI.](https://cyber.gouv.fr/decouvrir-les-solutions-qualifiees)