Audit de sécurité informatique : les étapes à suivre !

Faire un audit de sécurité informatique présente des avantages non négligeables pour l'entreprise. Auditer vos systèmes d'information et votre réseau informatique permet d'augmenter les performances de vos outils informatiques. Faire une analyse de la situation existante dans votre entreprise permet aussi d'optimiser la sécurité de votre parc informatique. Contrôler la sécurité informatique de votre société limite les risques associés à la gestion des données utilisateurs et les failles au niveau des systèmes. Comment réaliser un audit de sécurité informatique ?

Comment réaliser un audit de sécurité informatique ?

• Faire un pré-audit : quels sont les objectifs et les besoins en sécurité de votre entreprise ? quelles sont les mesures de sécurité qui ont déjà été mises en place pour atteindre ces objectifs ?
• Vérifier la conformité du SI : est-ce que le système d'information de votre entreprise répond aux normes de sécurité en vigueur ?
• Faire une analyse de l'infrastructure existante : quels sont les différents équipements informatiques et les éventuels différents points d'entrées qui peuvent permettre aux hackers de s'introduire dans votre SI ? Quel est le niveau de performance des infrastructures de sécurité informatique disponibles dans votre entreprise ? (gestion des sauvegardes, antivirus, pare-feu, anti-malwares, sécurité de la messagerie, antispam, point d'accès Wifi).
• Simuler une intrusion : il est indispensable de tester chaque point d'entrée potentiel d'une intrusion informatique pour en évaluer la performance. La technologie informatique ne cesse d'évoluer et en même temps les points d'entrée des hackers se multiplient. Aujourd'hui, les postes de travail nomades comme les Smartphones, les ordinateurs portables et les tablettes sont aussi exposés à des risques élevés d'intrusion.
• Mettre en place une stratégie de sécurité informatique : à l'issue d'un rapport de sécurité informatique détaillé de l'entreprise, il est primordial de mettre en place une stratégie de renforcement des systèmes existants. Cette stratégie implique aussi une sensibilisation des utilisateurs sur les règles d'usage de sécurité à appliquer en entreprise pour une meilleure sécurisation du parc informatique. Le recours à un professionnel en cybersécurité est vivement conseillé.

Comment préparer un audit sécurité ?

• Faire un état des lieux du système informatique de l'entreprise : c'est-à-dire réunir les documents de base indispensables à l'audit de sécurité informatique de l'entreprise. Soit une cartographie du parc informatique et du réseau interne, une documentation sur le fonctionnement des outils développés en interne et le règlement appliqué par l'entreprise quant à l'utilisation de son parc informatique.
• Informer les utilisateurs du parc informatique de l'entreprise de la date et du déroulement de l'audit du système informatique de l'entreprise : un audit de sécurité comprend souvent une interview des différentes équipes qui composent l'entreprise. Cela concerne le DSI, les développeurs, le RSSI, les administrateurs système, ainsi que toutes les personnes qui ont accès aux systèmes d'information de l'entreprise. Toute résistance à cet exercice peut fausser les résultats de l'audit.
• Préparer un budget conséquent pour l'audit : certains prestataires proposent un tarif d'audit forfaitaire incluant un rapport complet d'audit et quelques recommandations pratiques pour améliorer la sécurité du parc informatique de l'entreprise. D'autres cabinets d'audit appliquent un tarif journalier qui s'étend sur toute la durée de l'intervention. Dans certains cas plus complexes, ce type de tarification peut coûter cher à l'entreprise, d'où l'importance de se préparer à l'avance.
• Demander le cahier de charges de l'auditeur : ce document est indispensable pour évaluer, en amont, la capacité de l'auditeur à atteindre les objectifs d'audit fixés par l'entreprise.

Quel est le rôle d'un auditeur sécurité ?

Un auditeur sécurité informatique est un professionnel qui a pour principale mission d'effectuer le contrôle des systèmes d'information d'une entreprise. Ses interventions incluent la vérification du matériel informatique, des logiciels et des systèmes, ainsi que l'utilisation de ces équipements par les salariés de l'entreprise. Les missions d'un auditeur sécurité concernent aussi :

• L'analyse des procédures et de tous les équipements informatiques existant dans l'entreprise.
• Le perfectionnement de la sécurité des systèmes d'information et de la fiabilité des données à transmettre.
• La mise en place du cahier des charges incluant la conception de nouvelles applications de sécurité informatique pour l'entreprise.

Quels sont les différents types de test de sécurité informatique ?

• Les tests d'intrusion externe : il s'agit de découvrir et d'identifier les architectures réseaux, de recenser les systèmes et les vulnérabilités, d'exploiter les failles, d'analyser les impacts et de proposer des correctifs d'amélioration du système.
• Les tests d'intrusion interne : il s'agit, dans un premier temps, de simuler une attaque informatique directe sur votre réseau interne par le biais d'un élément interne comme un employé de l'entreprise ou un utilisateur tiers (prestataire de services, invité). Dans un second temps, l'auditeur attaque le réseau ou les ressources informatiques de l'entreprise avec son propre matériel. Cette méthode permet d'améliorer la sécurité de l'ensemble de votre système d'information et de limiter les conséquences néfastes d'une cyberattaque.
• Les tests d'intrusion Wifi : ce test consiste à évaluer la résistance de votre réseau face à une attaque perpétrée par un outil informatique extérieur qui utilise votre réseau Wifi.

Chloé TOURNEUR

Consultante en Solutions d'Entreprise