Méthode
Audit de sécurité informatique
Aussi appeléAudit de sécuritéAudit SSIAudit cybersécurité
En résumé
Une évaluation structurée, sur un périmètre convenu à l’avance, de la capacité d’un système d’information à résister à une attaque. Elle combine revue, analyse et tests, et livre un rapport priorisé avec des preuves. Elle recouvre des travaux variés : architecture, configuration, code, test d’intrusion, organisation.
Audit de sécurité informatique, en détail
Le terme désigne une famille de prestations. L’audit d’architecture examine la conception du réseau et des flux ; l’audit de configuration vérifie les paramètres des systèmes, des annuaires et du cloud ; l’audit de code source relit le code de l’application ; le test d’intrusion démontre ce qu’un attaquant obtient ; l’audit organisationnel examine politiques, rôles et procédures. Une mission peut en combiner plusieurs.
Une mission sérieuse suit un déroulé : cadrage écrit, autorisation signée, collecte, analyse et tests, restitution, puis vérification des correctifs. Elle ne prouve jamais l’absence de vulnérabilité : elle mesure un état, sur un périmètre, à une date.
Qu’est-ce que cela change pour vous ?
Avant de demander un devis, précisez la question que vous posez. Le prix dépend du nombre de jours d’analyste, donc du périmètre et de la profondeur attendus.
Exemple illustratif (fictif)
Imaginons une PME qui demande « un audit de sécurité » avant un rendez-vous avec un client grand compte. Le cadrage montre que le client attend en fait une preuve de résistance de l’application exposée : la mission devient un test d’intrusion web, complété d’une revue de configuration de la messagerie, au lieu d’un audit généraliste sans constat exploitable.
La confusion fréquente
Prendre le rapport d’un scanner pour un audit. Un audit contient des constats démontrés, pas seulement une liste de motifs détectés par un outil.
Quelles prestations s’appuient sur ce terme ?
- Pentest interne : la prestationSimuler ce qui se passe après l’ouverture de la première pièce jointe.
- Audit cloud : la prestationDans le cloud, la plupart des incidents partent d’une mauvaise configuration.
Aller plus loin
- ArticleAudit de sécurité informatique : déroulé, livrables et prixCe qu’est un audit de sécurité informatique, les cinq étapes d’une mission, les livrables à exiger et ce qui fait varier le prix, avec les montants d’entrée de chaque type d’audit.
- ArticleCombien coûte un test d’intrusion, et ce qui fait varier le prixCe qui fait varier le prix d’un test d’intrusion (périmètre, rôles, environnement, niveau de preuve) et les prix d’entrée publiés avec ce qu’ils couvrent.
- ComparatifAudit de sécurité ou test d’intrusion : quelle différence ?Un audit de sécurité examine configuration, architecture ou code pour trouver des défauts ; un test d’intrusion démontre ce qu’un attaquant obtient. Différences, prix d’entrée et situations types.
Termes liés
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
- TechniqueScan de vulnérabilités : définitionUne analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants.
- MéthodeRapport de test d’intrusion : définitionLe document livré à l’issue d’un test d’intrusion : synthèse de direction, périmètre et méthode, et pour chaque constat une description, une preuve reproductible, l’impact démontré, une gravité justifiée et une recommandation.
- ConformitéPASSI : définitionLa qualification française délivrée par l’ANSSI aux prestataires d’audit de la sécurité des systèmes d’information qui satisfont à un référentiel d’exigences.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début