Si l’on en croit les chiffres dévoilés en 2020 par Hiscox.fr, 67 % des entreprises françaises auraient subi un piratage au cours de l’année 2019. Et l’on ne parle là que des entreprises qui ont rapporté les faits. Si l’on ajoute à cela le quadruplement du nombre de cyberattaques ayant des entreprises françaises pour cible en 2020 (données de l’ANSSI) ou la troisième place mondiale de l’économie de la cybercriminalité, on comprend aisément la nécessité absolue d’une protection idoine et efficace.
La cybercriminalité évolue sans cesse
Pourtant, la grande majorité des entreprises (pour ne pas dire toutes) sont équipées de logiciels et de programmes censés les protéger de toute attaque extérieure. L’enjeu, c’est que les hackers s’adaptent aux nouvelles normes de défense. La protection et la sécurité du SI ne sont pas figées. Il ne suffit donc pas d’installer une solution de cybersécurité une bonne fois pour toutes pour échapper aux velléités des pirates. Afin de s’assurer de l’efficience de son système de sécurité d’information, il devient primordial de l’auditer régulièrement.
Qu’est-ce qu’un audit de cybersécurité ?
Un audit de cybersécurité est comparable à un examen complet des stratégies mises en place pour protéger le réseau de l’entreprise. Les objectifs visés sont de deux ordres :
- Dans un premier temps, le but est d’identifier les failles de sécurité dans un système d’information d’une organisation afin de pouvoir y remédier ;
- Dans un second temps, l’auditeur édite un rapport détaillé sur lequel l’audité pourra s’appuyer pour démontrer sa capacité à se défendre contre les menaces.
Comment se déroule un audit de cybersécurité ?
Dans la pratique, un audit de cybersécurité se déroule en trois phases, nommées phases d’évaluation, phase d’attribution et enfin phase d’audit.
La première phase est une phase de vérification, des ordinateurs, du réseau, des serveurs, des logiciels, bases de données mais également des accréditations, des autorisations, des formations du personnel en charge de la sécurité.
Vient ensuite la phase d’attribution consistant à apporter de solutions adéquates aux problèmes ou aux vulnérabilités rencontrées. Il peut s’agir d’une mise à jour logicielle comme de la désignation de membres du personnel ayant pour mission de veiller à la bonne application des préconisations.
L’audit final boucle la prestation. Il intervient en fin de cycle, après que les solutions recommandées ont été appliquées et avant que le nouveau système de protection soit accessible par les équipes de l’entreprise. Une dernière vérification finale afin de mesurer l’efficacité du système avant emploi.
Les différents types d'audits de cybersécurité
Selon les entreprises et leurs besoins respectifs, il peut exister différents types d’audit, ciblés sur des points divers. Ainsi, on peut distinguer :
- L’audit de vulnérabilité, visant particulièrement les failles sur les réseaux, les logiciels, les configurations ou les systèmes d’exploitation des terminaux ;
- L’audit intrusif, où l’on évalue le degré d’imperméabilité du système aux attaques extérieures ;
- L’audit de code, centré sur la sécurité d’un programme en particulier ;
- L’audit de réseau interne, dont le but est d’évaluer la sécurité des données sensibles à l’intérieur du réseau ;
- L’audit organisationnel, permettant d’auditer la sécurité générale de l’entreprise, de la sécurité physique à la sécurité des systèmes d’information en passant par l’exploitation, la production et tous les autres aspects de l’entreprise ;
- L’audit du point d’accès, spécifiquement centré sur le point d’accès internet de l’entreprise, c’est-à-dire l’interface entre le réseau interne et le monde extérieur.
Trois façons d’auditer les entreprises…
Selon le budget dévolu à l’audit et le système de sécurité à auditer, les entreprises peuvent choisir entre trois solutions d’audit différentes ;
- L’audit en boîte blanche, où l’entreprise délivre tous les accès et toutes les informations au prestataire ;
- L’audit en boîte grise, où l’entreprise ne donne que des informations parcellaires ;
- L’audit en boîte noire, où le prestataire devra faire sans aucune information et finalement jouer le rôle de l’hacker afin d’éprouver le système de cybersécurité de l’entreprise.
Audit interne ou audit externe ?
Dans l’idéal, il serait préférable de maintenir une veille permanente en cybersécurité en utilisant un outil de veille adapté à votre besoin et contexte afin d’identifier plus rapidement les menaces. Néanmoins, le budget des entreprises ne le permet pas toujours. Et puisque l’on évoque le budget, de façon à limiter ce budget dévolu à l’audit de cybersécurité, il est toujours préférable de préparer le terrain en effectuant un état des lieux en amont du passage d’un cabinet d’audit spécialisé. En premier lieu, il convient donc de vérifier l’âge des différents systèmes et de valider leur mise à jour.
De la même façon, un inventaire précis des actifs est également indispensable. De même que la vérification régulière des conformités réglementaires. Enfin, sachez que l’établissement d’une politique de sécurité des systèmes d’information permet à l’entreprise d’inciter tous ses collaborateurs à respecter une hygiène numérique stricte. Ensuite, si le budget le permet, l’intervention d’une entreprise de services du numériques ayant une expertise en audit de cybersécurité plus réelle.
Et si vous souhaitez faire un test d’instrusion votre environnement informatique alors n’hésitez pas à consulter nos offres de services en audit.
