Chapitre 5 : Auditing Fundamentals

Audit

Fondamentaux de l'Audit de Sécurité

Comprendre ce qu'est un audit de sécurité, son cycle de vie, sa relation avec le pentest, et les grands référentiels (GRC) qui structurent une démarche de conformité professionnelle.

1. Processus d'Audit

Définition, terminologie essentielle et cycle de vie en 7 phases d'un audit de sécurité.

2. Audit vs Pentest

Deux démarches distinctes, complémentaires — séquentielles ou combinées.

3. GRC & Référentiels

Gouvernance, Risque, Conformité — et les normes qui encadrent un audit professionnel.

Qu'est-ce que l'Audit de Sécurité ?

Concepts Fondamentaux

Définition

Processus systématique d'évaluation des mesures et contrôles de sécurité d'une organisation, pour vérifier qu'ils sont efficaces, appropriés et conformes aux normes, politiques et réglementations en vigueur.
Passe en revue les systèmes d'information, les réseaux, les applications et les procédures opérationnelles pour identifier vulnérabilités, faiblesses et axes d'amélioration.

Pourquoi c'est Important

Identifier les vulnérabilités et faiblesses avant qu'elles ne soient exploitées.
Garantir la conformité (GDPR, HIPAA, PCI DSS...) et éviter les sanctions légales/financières.
Renforcer la gestion des risques et prioriser les mesures selon leur impact.
Améliorer les politiques et procédures de sécurité existantes.
Un processus continu, pas une action ponctuelle — la sécurité évolue avec les menaces.

Terminologie Essentielle

Vocabulaire

Termes Clés (1/2)

Politique de sécurité : document formel définissant les objectifs et procédures de sécurité de l'organisation.
Conformité : respect des exigences réglementaires, normes du secteur et politiques internes.
Vulnérabilité : faiblesse dans un système ou un processus, exploitable pour un accès non autorisé.
Contrôle : mesure ou contre-mesure mise en place pour atténuer un risque.

Termes Clés (2/2)

Évaluation des risques : identification, analyse et évaluation des risques pesant sur les actifs.
Audit trail : enregistrement chronologique des événements, support de la traçabilité.
Audit de conformité : examen du respect des exigences réglementaires et normes.
Rapport d'audit : document présentant les constats, conclusions et recommandations.

Cycle de Vie d'un Audit de Sécurité (1/2)

Méthodologie

1. Planification & Préparation

Définir les objectifs et le périmètre exact de l'audit.
Rassembler la documentation existante : politiques, schémas réseau, rapports précédents.
Constituer l'équipe d'audit et fixer le calendrier des activités.

2. Collecte d'Informations & 3. Évaluation des Risques

Revue des politiques/procédures et entretiens avec le personnel clé.
Collecte d'informations techniques : configurations, architecture réseau, contrôles en place.
Identification des actifs et menaces, évaluation des vulnérabilités, détermination des niveaux de risque.

Cycle de Vie d'un Audit de Sécurité (2/2)

Méthodologie

4. Exécution & 5. Analyse

Tests techniques : scans de vulnérabilités, pentest, revue de configuration.
Vérification de la conformité et évaluation de l'efficacité des contrôles en place.
Analyse des constats, comparaison aux standards du secteur, priorisation par sévérité et impact.

6. Rapport & 7. Remédiation

Documenter les constats (vulnérabilités, non-conformités, contrôles inefficaces) et formuler des recommandations actionnables.
Présenter les résultats aux parties prenantes concernées.
Élaborer un plan de remédiation, accompagner sa mise en œuvre, puis programmer un audit de suivi.

Types d'Audits & Lien avec le Pentest

Classification

Pourquoi Catégoriser les Audits ?

Les audits de sécurité peuvent être classés selon leur portée, leur méthodologie et l'aspect de l'organisation qu'ils ciblent.
Pour un pentester, comprendre ces différentes catégories est essentiel pour adapter efficacement sa stratégie de test au contexte de la mission.

Audit de Sécurité vs Pentest

Audit vs Pentest

Deux Évaluations Distinctes

Un audit de sécurité et un pentest ont chacun leur propre périmètre, leurs objectifs et leurs résultats attendus.
Comprendre cette différence permet de savoir quand chacun doit être réalisé — séquentiellement ou de façon combinée.

Approche Séquentielle

L'audit est souvent réalisé en premier : posture globale, conformité, axes d'amélioration des politiques.
Le pentest suit ensuite, pour valider l'efficacité des contrôles techniques identifiés.
Avantages : vision complète (politique + technique), identification des écarts procéduraux et techniques, priorisation de la remédiation.

Approche Combinée — Audit + Pentest

Audit + Pentest

Intégrer Audit et Pentest

Certaines organisations choisissent de combiner audit et pentest en une évaluation de sécurité holistique unique.
Avantages : processus rationalisé (politique, procédure et technique en un seul engagement).
Vision complète de la posture de sécurité en une seule mission.
Approche potentiellement plus efficace et économique, en traitant conformité et vulnérabilités techniques simultanément.

GRC — Gouvernance, Risque & Conformité

GRC

Les 3 Piliers du GRC

Gouvernance : cadre de politiques et procédures garantissant l'atteinte des objectifs et la conformité légale (rôles, responsabilités, redevabilité).
Risque : identification, évaluation et atténuation des risques pesant sur les actifs de l'organisation.
Conformité : respect des lois, réglementations et normes du secteur (GDPR, HIPAA, PCI DSS...).

Pourquoi le GRC Compte pour un Pentester

Permet de mener des évaluations plus complètes et pertinentes vis-à-vis du contexte de l'organisation.
Aide à formuler les constats dans le cadre des politiques et exigences de conformité applicables.
Permet des recommandations stratégiques alignées avec le cadre GRC de l'organisation cliente.

Référentiels, Normes & Guides

Frameworks / Standards

Frameworks & Standards

Frameworks (NIST CSF, COBIT) : approche structurée et flexible, adaptable à différentes organisations.
Standards (ISO/IEC 27001, PCI DSS, HIPAA, GDPR) : exigences précises, souvent obligatoires dans les secteurs réglementés.

Guidelines

CIS Controls : bonnes pratiques et actions concrètes pour améliorer la posture de cybersécurité.
NIST SP 800-53 : catalogue de contrôles de sécurité et de vie privée, obligatoire pour les agences fédérales américaines.

De l'Audit au Pentest — Exemple Pratique

Étude de Cas

Phase 1 — Élaborer une Politique de Sécurité

Définir le périmètre et les objectifs de la politique.
Gestion des comptes, méthodes d'authentification et privilèges.
Exigences de journalisation, gestion des configurations et des correctifs.
Politiques de mot de passe et protection contre les malwares.

Phase 2 & 3 — Audit puis Pentest

Phase 2 : audit technique de sécurité (par exemple avec Lynis, déjà vu dans notre chapitre d'audit système).
Phase 3 : mener un pentest pour valider l'efficacité de la remédiation : scan réseau (Nmap), scan/exploitation des vulnérabilités (Metasploit), test des applications web (Burp Suite).
Comparer les résultats du pentest aux constats initiaux de l'audit pour vérifier que les vulnérabilités ont bien été corrigées.

Synthèse & Methodology Checklist — Chapitre 5

Récapitulatif

Checklist Pratique d'Audit de Sécurité

1. Distinction : l'audit évalue la conformité et la posture globale ; le pentest valide techniquement les contrôles — deux démarches complémentaires, pas interchangeables.
2. Contexte GRC : toujours situer un constat dans le cadre gouvernance/risque/conformité de l'organisation pour des recommandations pertinentes.
3. Référentiels : connaître au moins un exemple par catégorie — framework (NIST CSF), standard (ISO 27001), guideline (CIS Controls).
4. Démarche séquentielle : audit puis pentest permet de vérifier qu'une remédiation a réellement corrigé les vulnérabilités identifiées.
5. Documentation : résumé exécutif, méthodologie, constats et recommandations — quel que soit le type d'évaluation menée.