Rien ne ressemble plus \u00e0 une campagne d\u2019audit qu\u2019une autre campagne d\u2019audit\u2026 Pas si s\u00fbr\u00a0! \u00c0 chaque campagne ses objectifs propres, desquels d\u00e9coule la d\u00e9marche \u00e0 adopter.<\/p>\n
\u00c0 quoi peut servir une campagne\u00a0? Deux objectifs se d\u00e9gagent principalement des campagnes que nous avons r\u00e9alis\u00e9es\u00a0: soit mesurer le niveau de s\u00e9curit\u00e9 sur un \u00e9chantillon de th\u00e8mes et cibles techniques, \u00e0 consolider ensuite en risques \u00e0 destination des m\u00e9tiers, soit \u00e0 l\u2019inverse \u00e9valuer \u00e0 partir des processus m\u00e9tier les vuln\u00e9rabilit\u00e9s techniques pouvant porter atteinte \u00e0 leurs enjeux.<\/p>\n
Deux objectifs distincts qui induisent des approches diff\u00e9rentes lors du cadrage : soit bas\u00e9e sur les cibles techniques, soit sur les actifs et processus m\u00e9tier \u00e0 prot\u00e9ger.<\/p>\n
La phase de cadrage se r\u00e9v\u00e8le alors cl\u00e9 dans l\u2019efficacit\u00e9 de la campagne et l\u2019atteinte de ses objectifs. Afin de donner de l\u2019int\u00e9r\u00eat et du relief aux constats, les p\u00e9rim\u00e8tres \u00e0 enjeux forts doivent \u00eatre privil\u00e9gi\u00e9s. D\u2019un point de vue plus pragmatique\u00a0: il s\u2019av\u00e8re important d\u2019aller dans les d\u00e9tails d\u00e8s le pr\u00e9-cadrage, pour identifier non seulement la charge \u00e0 pr\u00e9voir, mais aussi valider l\u2019int\u00e9r\u00eat de la cible, et s\u2019int\u00e9grer le cas \u00e9ch\u00e9ant dans le cycle projet de la cible.<\/p>\n
Il faut trouver l\u2019aiguille et non pas brasser du foin\u00a0! La tendance actuelle est de raccourcir la dur\u00e9e des audits, dans le but de livrer une synth\u00e8se des points les plus saillants, par opposition \u00e0 un rapport exhaustif de 200 pages\u2026<\/p>\n
Enfin, une campagne d\u2019audit demande de rester flexible pour faire face \u00e0 l\u2019impr\u00e9vu\u00a0: il faut conserver une marge de man\u0153uvre afin d\u2019absorber les extensions de p\u00e9rim\u00e8tre ou les demandes de derni\u00e8res minutes justifi\u00e9es par l\u2019actualit\u00e9 ou les incidents.<\/p>\n
Si le cadrage doit \u00eatre pr\u00e9cis, le savoir-faire des auditeurs ne se limite pas \u00e0 d\u00e9rouler un plan pr\u00e9d\u00e9fini\u00a0!<\/p>\n
Il leur incombe de faire preuve d\u2019agilit\u00e9 par rapport au p\u00e9rim\u00e8tre d\u00e9fini, pour passer moins de temps sur les parties peu vuln\u00e9rables ou peu critiques, et se concentrer sur les sujets int\u00e9ressants (pr\u00e9sence de vuln\u00e9rabilit\u00e9s ou criticit\u00e9 \u00e9lev\u00e9e).<\/p>\n
Un autre aspect o\u00f9 la souplesse est de mise\u00a0: la gestion des ressources. Le d\u00e9marrage de la campagne, focalis\u00e9 sur le cadrage, n\u00e9cessite une forte pr\u00e9sence du pilotage mais peu de r\u00e9alisation d\u2019audits. Une r\u00e9duction des ressources peut par ailleurs \u00eatre anticip\u00e9e sur les p\u00e9riodes creuses.<\/p>\n
Enfin, le pilotage doit s\u2019assurer de remonter en temps r\u00e9el les alertes relatives aux vuln\u00e9rabilit\u00e9s les plus critiques mises en \u00e9vidence.<\/p>\n
En fin de campagne, le bilan doit \u00eatre fait sur 2 aspects. En premier lieu sur la forme\u00a0: int\u00e9r\u00eat a posteriori des cibles choisies\u00a0? Am\u00e9liorations \u00e0 apporter au d\u00e9roulement de la campagne\u00a0? Mais \u00e9galement sur le fond\u00a0: quels sont les principaux risques identifi\u00e9s\u00a0? Quels sont les p\u00e9rim\u00e8tres en danger, les enjeux ou processus \u00e0 renforcer\u00a0?<\/p>\n
C\u2019est bien lors de la consolidation de l\u2019ensemble des r\u00e9sultats que la campagne prend son sens, et la restitution finale doit apporter des r\u00e9ponses aux objectifs fix\u00e9s lors du cadrage.<\/p>\n
La pr\u00e9paration de la campagne suivante peut ainsi s\u2019envisager apr\u00e8s identification des axes d\u2019am\u00e9lioration, et en capitalisant sur les p\u00e9rim\u00e8tres d\u2019audit int\u00e9ressants identifi\u00e9s tout au long des audits\u00a0: la prochaine fois, on trouvera l\u2019aiguille plus vite\u00a0!<\/p>\n","protected":false},"excerpt":{"rendered":"
Rien ne ressemble plus \u00e0 une campagne d\u2019audit qu\u2019une autre campagne d\u2019audit\u2026 Pas si s\u00fbr\u00a0! \u00c0 chaque campagne ses objectifs propres, desquels d\u00e9coule la d\u00e9marche \u00e0 adopter. Chercher dans la bonne direction \u00c0 quoi peut servir une campagne\u00a0? Deux objectifs…<\/p>\n","protected":false},"author":92,"featured_media":6344,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"page-templates\/tmpl-one.php","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[36,3225,35],"tags":[664,3319,258],"coauthors":[931],"class_list":["post-2291","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurity-digital-trust","category-ethical-hacking-indicent-response","category-strategie-projets-it","tag-audit","tag-audit-pentesting","tag-pilotage"],"acf":[],"yoast_head":"\n