Audit de posture de sécurité : ce qu'il doit couvrir et livrer
Un audit de posture de sécurité répond à une question simple pour la direction : où en sommes-nous vraiment, et que faut-il corriger en premier ? Ce n'est ni un test d'intrusion, ni une certification, ni un scan d'outil avec un logo en couverture. Bien mené, il donne une image partagée et étayée de votre sécurité et une feuille de route de remédiation que l'on peut financer. Mal mené, il produit un PDF de 200 pages que personne n'ouvre deux fois. Ce guide décrit ce que couvre un bon audit, sa durée, ce qu'il faut préparer et comment juger le rapport.
Pourquoi en commander un
Les déclencheurs sont souvent externes : un questionnaire sécurité client auquel on ne sait pas répondre, l'arrivée de NIS2 (voir notre guide de préparation NIS2), un renouvellement de cyberassurance qui interroge sur la MFA et les sauvegardes, un nouveau RSSI qui a besoin d'un état initial, ou un incident qui a révélé des angles morts. Le coût de l'ignorance se chiffre mal, mais il se voit : contrats retardés faute de réponses aux questionnaires, primes ou exclusions d'assurance, budgets de remédiation dépensés au mauvais endroit faute de priorisation des risques.
L'audit de posture est l'évaluation la moins coûteuse parce qu'il est large plutôt que profond. Il indique où un examen plus poussé (test d'intrusion, revue de code, red team) vaut la dépense.
Audit, pentest, certification : savoir ce que l'on achète
| Évaluation | Question traitée | Profondeur | Livrable type |
|---|---|---|---|
| Audit de posture | Quelle est notre maturité globale, et quelles sont les priorités ? | Large, par échantillonnage | Notation de maturité, constats, feuille de route priorisée |
| Test d'intrusion | Un attaquant peut-il compromettre ce périmètre précis ? | Profonde, étroite | Vulnérabilités exploitables avec preuves |
| Analyse d'écarts de conformité | À quelle distance sommes-nous d'un référentiel (ISO 27001, NIS2, DORA) ? | Exigence par exigence | Registre des écarts rattaché au référentiel |
| Audit de certification | Respectons-nous la norme, selon un organisme accrédité ? | Formelle, sur preuves | Certificat ou non-conformités |
Beaucoup d'organisations combinent la première et la troisième : un audit de posture structuré sur un référentiel, pour que le même travail alimente ensuite la conformité.
Le périmètre : le fixer par écrit
La note de cadrage est le document le plus important de la mission. Elle précise :
- Le périmètre : entités juridiques, sites, systèmes d'information, comptes cloud, applications critiques. Les exclusions sont explicites.
- Le référentiel : guide d'hygiène de l'ANSSI (42 mesures), annexe A de l'ISO/IEC 27001:2022, CIS Controls v8 ou article 21 de NIS2. Un référentiel principal garantit une notation cohérente.
- La profondeur des vérifications techniques : revue de configuration seule, ou aussi scans authentifiés, analyse Active Directory, scan de posture cloud, revue de l'exposition externe.
- Les règles d'engagement : qui autorise les vérifications, plages horaires, conduite à tenir si une faille critique est trouvée en cours d'audit (elle doit être signalée immédiatement, pas dans le rapport final).
Les quatre briques
1. Revue documentaire
Politiques, schémas réseau, inventaires, procédures de sauvegarde, plan de réponse à incident, contrats fournisseurs, rapports d'audit précédents. L'auditeur vérifie deux choses : que les documents existent, et qu'ils décrivent la réalité. Une politique que personne n'applique est un constat.
2. Entretiens
En général avec le responsable informatique, les administrateurs systèmes et réseaux, un responsable développement ou DevOps, le DPO, les RH (arrivées et départs), le responsable métier d'une application critique et un membre de la direction. De bons entretiens sont courts (une heure), préparés à partir de la revue documentaire, et centrés sur les pratiques réelles : « montrez-moi le dernier test de restauration » plutôt que « testez-vous vos sauvegardes ? ».
3. Vérifications techniques
Elles transforment les déclarations en preuves. Un ensemble type :
| Domaine | Ce qui est vérifié | Outils courants |
|---|---|---|
| Identités | Couverture MFA, comptes à privilèges, faiblesses Active Directory, comptes dormants | PingCastle, BloodHound, rapports IAM cloud |
| Exposition externe | Services exposés, configuration TLS, sous-domaines oubliés | Nmap, journaux Certificate Transparency, sources de type Shodan |
| Postes et serveurs | Niveau de correctifs, droits d'administration locaux, couverture EDR, durcissement | Scans de vulnérabilités authentifiés, échantillonnage de configurations |
| Cloud | IAM, journalisation, stockage public, exposition réseau | Prowler, outils natifs (voir notre check-list d'audit cloud) |
| Sauvegardes | Copie hors ligne ou immuable, preuve de restauration | Observation d'une restauration |
| Journalisation | Collecte centralisée, rétention, alertes | Revue du SIEM ou de la plateforme de journaux |
4. Socle d'hygiène
Pour une organisation française, le Guide d'hygiène informatique de l'ANSSI est le plancher naturel : 42 mesures couvrant sensibilisation, connaissance du SI, authentification, sécurité des postes et du réseau, administration, nomadisme, mises à jour, supervision et réponse à incident. Noter chaque mesure (appliquée, partielle, absente, non applicable) donne une image de maturité lisible et directement réutilisable pour NIS2. Notre plan d'hygiène ANSSI détaille ces mesures.
Comment les constats doivent être notés
Un constat sans criticité est une opinion. Un bon rapport note chaque constat selon la vraisemblance et l'impact, sur une échelle définie dès le départ :
| Criticité | Signification | Traitement attendu |
|---|---|---|
| Critique | Directement exploitable, mène à la compromission d'actifs critiques (par exemple accès distant sans MFA, mot de passe administrateur de domaine réutilisé sur les postes) | Correction sous quelques jours, signalée pendant l'audit |
| Élevée | Exposition significative, exploitation plausible avec un effort modéré | Correction sous 1 à 3 mois |
| Moyenne | Faiblesse qui aggrave l'impact ou facilite les déplacements latéraux | Planifiée sous 6 mois |
| Faible | Écart aux bonnes pratiques, risque direct limité | Amélioration continue |
Pour les vulnérabilités techniques, les auditeurs citent souvent un score CVSS (Common Vulnerability Scoring System, maintenu par le FIRST). Le CVSS mesure la gravité technique, pas le risque métier : un CVSS élevé sur un serveur de test isolé peut passer derrière un score moyen sur le système de paie. Le rapport doit expliquer comment le contexte a modifié la notation.
| Likelihood \ Impact | Low | Medium | High |
|---|---|---|---|
| Likely | 3 | 4 | 5 |
| Possible | 2 | 3 | 4 |
| Rare | 1 | 2 | 3 |
Extrait de la fiche « PenTest+ Practice Scenarios » · Demander la fiche complète
La feuille de route de remédiation
C'est elle que vous payez vraiment. Elle regroupe les constats en chantiers, estime l'effort, désigne un rôle responsable et ordonne le travail :
| Horizon | Contenu type |
|---|---|
| 0 à 30 jours | Constats critiques, trous de MFA, services exposés, hygiène des comptes d'administration, une copie de sauvegarde hors ligne |
| 1 à 3 mois | Processus de correctifs, journalisation centralisée, séparation des accès à privilèges, bases de la réponse à incident |
| 3 à 12 mois | Cloisonnement réseau, sécurité des fournisseurs, plan de continuité, programme de sensibilisation, corpus de politiques |
Chaque ligne indique à quoi ressemble « terminé » (un critère observable, pas « améliorer X »), pour pouvoir remesurer dans un an.
Combien de temps
La durée dépend du périmètre et de la profondeur plus que de l'effectif. En ordre de grandeur, pour une PME ou une ETI mono-site avec un système d'information principal, un audit de posture prend couramment deux à quatre semaines calendaires, entretiens, vérifications techniques et rédaction compris ; un groupe multi-sites ou un parc cloud complexe demande davantage. Méfiez-vous autant d'un « audit complet » promis en deux jours que d'une mission sans date de fin.
Ce qu'il faut préparer
Vous économiserez des jours d'auditeur, donc du budget, en préparant :
- La liste à jour des sites, entités juridiques et principales applications
- Les schémas réseau, même sommaires
- La liste des comptes cloud, abonnements et outils SaaS avec accès administrateur
- Les politiques existantes, les rapports d'audit et de pentest précédents
- Un coordinateur interne nommé, habilité à planifier les entretiens
- Des comptes en lecture seule pour les vérifications techniques, créés avant le lancement
- La décision de qui reçoit les constats critiques en cours d'audit
Comment juger le rapport
| Question | Bon signe | Signal d'alerte |
|---|---|---|
| Une synthèse lisible en cinq minutes ? | Deux pages, vue de maturité, risques et actions principaux | Commence par la méthodologie |
| Les constats sont-ils étayés ? | Chacun renvoie à un document, un entretien ou une sortie technique | Phrases génériques copiées d'un client à l'autre |
| La criticité est-elle justifiée ? | Vraisemblance et impact expliqués dans votre contexte | Tout est « élevé » |
| La feuille de route est-elle actionnable ? | Responsables, effort, séquence, critères de fin | 150 recommandations sans ordre |
| Est-elle réutilisable ? | Rattachée à l'hygiène ANSSI, à l'ISO 27001 ou à NIS2 | Notation propriétaire non comparable |
| Y a-t-il une restitution ? | Réunion avec la direction et l'informatique | Rapport envoyé par courriel, sans échange |
Extrait de la fiche « Writing for Security Work » · Demander la fiche complète
Questions à poser au prestataire
- Sur quel référentiel la notation sera-t-elle faite, et peut-on voir un extrait de rapport anonymisé ?
- Qui mène exactement les entretiens et les vérifications techniques, avec quelles qualifications ? Pour les systèmes sensibles, la qualification PASSI de l'ANSSI (prestataires d'audit de la sécurité des systèmes d'information) est une référence reconnue, exigée dans certains contextes réglementés.
- Comment traitez-vous un constat critique découvert en cours d'audit ?
- Que nous reste-t-il à la fin : sorties brutes des scans, grille de notation, feuille de route dans un format modifiable ?
- Une remesure est-elle incluse ou chiffrée à part ?
Notre accompagnement
Tadata réalise des audits de posture de sécurité fondés sur le socle d'hygiène de l'ANSSI, avec la préparation à NIS2, DORA et ISO 27001, et une analyse de risques EBIOS RM quand il faut aller plus loin ; voir notre page cybersécurité. Notre bibliothèque de fiches, gratuite, est un bon moyen de préparer vos équipes avant un audit.