La première demande de preuves d'un audit est l'endroit où beaucoup de missions dérapent. Pas parce que les questions sont difficiles, mais parce qu'on y répond avec le mauvais élément : une politique là où l'auditeur demandait la preuve que la politique a été appliquée, une capture d'écran là où il demandait une liste, une description là où il demandait une date.
Voici les demandes qui reviennent la première semaine de la plupart des missions de sécurité de l'information, ce que chacune teste réellement, et à quoi ressemble une bonne réponse.
Revues des accès
Demandé : la preuve que les accès des utilisateurs aux systèmes clés ont été revus, avec la date de la revue, qui l'a faite et ce qui a changé en conséquence.
Testé : pas si vous avez une politique de revue des accès. Si une revue a eu lieu, selon un calendrier, et s'il en est sorti quelque chose.
Une bonne réponse : l'export sur lequel le relecteur a travaillé, sa validation, et les tickets des comptes supprimés ou rétrogradés. Une revue qui n'a rien trouvé à changer, chaque trimestre, pendant un an, appelle une question sur le soin qu'on y a mis.
Une réponse faible : le document de politique qui dit que les revues ont lieu chaque trimestre.
Retrait des accès au départ
Demandé : la liste des personnes parties pendant la période, avec la date à laquelle l'accès de chacune a été révoqué.
Testé : l'écart entre les deux dates.
Une bonne réponse : une liste RH et un journal du fournisseur d'identité qu'on peut croiser sur la personne et la date. Si l'écart est parfois de quelques jours plutôt que de quelques heures, dites-le et montrez la gestion de l'exception ; les auditeurs sont nettement plus à l'aise avec une faiblesse connue et gérée qu'avec une prétention de perfection que l'échantillon contredit.
Une réponse faible : un modèle de checklist de départ.
Gestion des changements
Demandé : un échantillon de changements en production, avec la preuve d'une revue et d'une approbation avant déploiement.
Testé : que le processus que vous décrivez est celui qui a tourné, y compris pour les changements urgents.
Une bonne réponse : des pull requests approuvées, reliées aux déploiements, pour les dates d'échantillon qu'ils choisissent. Attendez-vous à ce qu'ils choisissent les dates gênantes ; une mise en production le 23 décembre en dit plus long qu'une autre au milieu d'une semaine calme.
Une réponse faible : la stratégie de branches de votre manuel d'ingénierie.
Sauvegardes et restauration
Demandé : la preuve que les sauvegardes tournent, et la preuve qu'une restauration a été testée.
Testé : la seconde moitié. Presque toutes les entreprises sauvegardent. Beaucoup moins ont déjà restauré.
Une bonne réponse : le calendrier, les journaux de succès, et l'enregistrement d'un test de restauration avec sa date, ce qui a été restauré et combien de temps cela a pris.
Une réponse faible : l'écran de configuration de la sauvegarde.
Appréciation des risques
Demandé : votre registre des risques, sa dernière date de revue, et comment les décisions de traitement ont été prises.
Testé : si la gestion des risques est une activité ou un document.
Une bonne réponse : un registre avec des responsables, des dates et la preuve que les entrées ont bougé : des risques acceptés avec le nom de la personne qui les a acceptés, des risques réduits avec le travail qui les a réduits.
Une réponse faible : un registre dont toutes les entrées ont été créées le même jour et où rien n'a changé depuis.
Fournisseurs et sous-traitants ultérieurs
Demandé : votre liste de fournisseurs ayant accès à des données ou des systèmes, la diligence effectuée, et les clauses contractuelles couvrant la sécurité.
Testé : si vous savez qui sont vos fournisseurs.
Une bonne réponse : une liste tenue à jour qui correspond à vos dépenses réelles et à vos intégrations réelles. La liste et les factures ne doivent pas se contredire.
Une réponse faible : les trois gros fournisseurs dont tout le monde se souvient, sans le petit outil qu'une équipe a adopté le trimestre dernier.
Enregistrements d'incidents
Demandé : les incidents de la période, avec chronologie, actions et issue.
Testé : si les incidents sont enregistrés de façon cohérente, y compris les petits.
Une bonne réponse : un registre qui inclut les incidents mineurs réglés rapidement. « Aucun incident » sur douze mois n'est pas la réponse forte qu'elle paraît ; cela veut généralement dire que les petits n'ont pas été enregistrés.
Une réponse faible : le plan de réponse aux incidents.
Formation et sensibilisation
Demandé : les enregistrements d'achèvement de la formation à la sécurité, avec dates et couverture.
Testé : la couverture, pas le contenu. Qui ne l'a pas terminée, et ce qui s'est passé ensuite.
Une bonne réponse : l'export d'achèvement, lacunes comprises, avec la preuve du suivi.
Le schéma
Toutes ces demandes ont la même forme. L'auditeur demande la preuve que quelque chose s'est passé ; le réflexe est d'envoyer le document qui dit que cela doit se passer. Les politiques établissent l'intention. Les preuves établissent le fonctionnement. Une mission avance vite quand la seconde est prête, et lentement quand c'est la première qui arrive et que la vraie demande doit être faite deux fois.
Deux habitudes font la différence, et les deux ne coûtent rien si l'on commence avant la mission plutôt que pendant.
Enregistrer la date et l'acteur. La plupart des questions de preuve se ramènent à « qui a fait ceci, et quand ». Les éléments qui portent les deux répondent du premier coup.
Garder les exceptions. Le réflexe est de présenter un dossier propre. Un dossier sans exception, sur un an, se lit soit comme inhabituellement discipliné, soit comme incomplet, et le travail de l'auditeur est de déterminer lequel. Montrer l'exception et comment elle a été traitée est une position plus solide que n'en montrer aucune.