Audit Cybersécurité
L’audit de sécurité a pour objectif de qualifier le niveau de sécurité du périmètre évalué, identifier les vulnérabilités présentes et qualifier les risques qui peuvent en résulter, proposer des recommandations adaptées en fonction du contexte, définir un plan d’action. Cela permet d’orienter et d’optimiser les choix d’investissements et d’améliorations techniques et organisationnelles au travers d’un plan d’actions priorisées en fonction de la gravité des risques identifiés.
Une méthodologie d’audit éprouvée et conforme aux normes
Architecture et configuration
- L’audit d’architecture
Ce type d’audit permet d’évaluer, sous le prisme de la sécurité, le design du périmètre audité. Il s’appuiera à la fois sur une étude documentaire, des entretiens et optionnellement une analyse d’un échantillon de configuration sur le périmètre sélectionné. Il devra permettre de proposer des ajustements ou solutions sécurité complémentaires permettant de couvrir la surface de vulnérabilités identifiée au regard des enjeux métiers.
- Audit de configuration
Ce type d’audit a pour vocation de vérifier la mise en œuvre de pratiques de sécurité conformes à l’état de l’art et aux exigences et règles internes de l’audité en matière de configuration des dispositifs matériels et logiciels déployés dans un système d’information. Ces dispositifs peuvent notamment être des équipements réseau, des systèmes d’exploitation (serveur ou poste de travail), des applications ou des produits de sécurité.
–
Ces deux types d’audit sont souvent complémentaires pour réaliser un état des lieux technique représentatif, le plus souvent un prenant un panel représentatif des configurations par type d’équipements.
Test d'intrusion
- Test d’intrusion externe
Ce type de test a pour objectif d’apporter une vision du niveau de sécurité de la plateforme depuis un accès Internet.
- Test d’intrusion interne
Ce type de test a pour objectif de simuler l’action d’une personne malveillante ayant un accès physique et logique au réseau de l’entreprise (filaire ou sans-fil)..
–
L’ensemble de ces tests peuvent simuler les actions malveillantes d’un attaquant ne disposant que de peu d’informations sur l’environnement audité (URL / adresse IP dans le cas de tests en boîte noire, un ou plusieurs compte(s) valide(s) dans le cas des tests en boîte grise).
Les tests d’intrusions peuvent être déclinés sur différents domaines techniques comme des applications Web, des composants d’infrastructure, etc.
Organisationnel et/ou physique
L’audit organisationnel et physique vise à s’assurer que les politiques et procédures de sécurité définies par l’audité pour assurer le maintien en conditions opérationnelles et de sécurité d’une application ou de tout ou partie du système d’information sont conformes au besoin de sécurité de l’organisme audité, à l’état de l’art ou aux normes ou réglementations en vigueur : elles complètent correctement les mesures techniques mises en place, elles sont efficacement mises en pratique, les aspects physiques de la sécurité de l’application ou du SI sont correctement couverts.
Diagnostic Technique ou Organisationnel industrialisé (Cyberdiag)
Nous proposons aussi un ensemble de diagnostics prédéfinis et industrialisés pour vous permettre d’identifier votre niveau de maturité en sécurité et les actions prioritaires à envisager.
La première déclinaison organisationnelle permet de déterminer le niveau de maturité sécurité au travers d’interviews et d’analyse documentaire selon un référentiel fonctionnel reconnu et adapté au contexte client.
La seconde déclinaison permet de déterminer le niveau de maturité en sécurité en recherchant les vulnérabilités techniques présentes sur le système d’information par de scans voire tests d’intrusions.
Nos partenaires
Nos références clients
