L'audit de sécurité


Qu'est-ce qu'un audit de sécurité?

L’audit de sécurité est le complément vital des tests d'intrusions . En effet, cette prestation cadre essentiellement les procédures mises en place en interne en ce qui concerne la sécurité du système d'information. Il est essentiellement mené autour d'un axe organisationnel à travers divers entretiens des intervenants gérant le SI mais également axé sur la relecture des configurations des éléments clé des applicatifs et du matériel réseau.

Dans la peau d'un auditeur

Nous évaluons donc (non exhaustivement):

  • La politique de sécurité globale
    • Gestion des mises à jour de sécurité des services écoutant sur le réseau (interne ou externe)
    • Gestion des mises à jour de sécurité des postes de travail
    • Plan de reprise d'activité
    • Gestion des sauvegardes
    • Plan de formation d'entreprise en matière de sécurité informatique
    • Procédure de relecture de code
    • Jalons techniques
    • Antivirus
  • La politique d'accès aux données
    • Gestion et suivi de l'AD
    • Gestion des identités
    • Gestion des ACL
    • Politique de durcissement des mots de passe
    • Politique de chiffrement des postes de travail
    • Politique de chiffrement des postes nomades
    • Enjeux BYOD
  • Les configurations réseau
    • Routeurs
    • Vlan
    • Firewalls
    • H-IDS / N-IDS
    • WAF
    • Reverse-proxy

L'audit de sécurité peut volontairement s'appuyer sur une norme visée par le client ou sur un souhait de préparation à une certification.

Quels sont les livrables fournis suite à un audit de sécurité ?

Un rapport précis contenant les vulnérabilités (techniques ou humaines), leur criticité, les méthodes d’enrayement, les méthodes de contournement, la facilité d'exploitation, l'incidence de la faille et plusieurs graphiques comparatifs vous est remis. Ce rapport est suivi d'un double entretien personnalisé: un entretien axé sur le décisionnel expliquant les vulnérabilités découvertes, leur impact et la procédure à mettre en place; ainsi qu'un entretien technique permettant d'appréhender au mieux le contenu du rapport et surtout de mettre en place les contre-mesures le plus rapidement possible. Vous trouvez plus de détail sur la page notre méthodologie.