Des audits de sécurité IT avec un référentiel clair

Les audits de conformité vérifient qu'un système de management satisfait à des exigences définies – par exemple les audits internes selon ISO/IEC 27001 (chapitre 9.2) ou les audits de certification et de surveillance menés par des organismes accrédités. Les audits de sécurité techniques interviennent un niveau plus bas : ils mesurent l'état réel de systèmes concrets – configurations, autorisations, jeux de règles – par rapport à un référentiel technique tel qu'un CIS Benchmark ou un module IT-Grundschutz. Les deux perspectives se complètent : l'audit de conformité atteste d'un processus qui fonctionne, l'audit technique du niveau réel de durcissement. Un certificat seul en dit donc peu sur la qualité de configuration des systèmes individuels – et inversement.

Dans la pratique, des formats ciblés se sont imposés. Un audit de sécurité Active Directory examine les structures d'autorisations et de délégation, les comptes et groupes à privilèges, les relations d'approbation et le durcissement des contrôleurs de domaine – en tant que système d'identité central, l'AD est une cible d'attaque privilégiée. Un audit de configuration M365/cloud évalue les paramètres du tenant, les politiques d'identité et d'accès, la journalisation et les partages externes par rapport à des catalogues comme le CIS Microsoft 365 Foundations Benchmark. La revue du jeu de règles pare-feu contrôle la base de règles à la recherche d'ouvertures trop larges et de règles orphelines ou redondantes, et examine le processus de changement ; une revue d'architecture évalue de manière transversale la segmentation réseau, les concepts de zones et les chemins d'accès administratifs.

Les CIS Benchmarks du Center for Internet Security sont des prescriptions de configuration consensuelles et indépendantes des éditeurs – plus de 100 guides pour plus de 25 familles de produits, des systèmes d'exploitation aux composants réseau en passant par les plateformes cloud. Chaque recommandation indique la valeur cible sécurisée ainsi que les étapes de vérification et de mise en œuvre ; la plupart des benchmarks se déclinent en deux profils : Level 1 pour une sécurisation de base à faible impact opérationnel, Level 2 pour des besoins de protection accrus. Par ailleurs, les éditeurs entretiennent leurs propres baselines : Microsoft publie des Security Baselines régulièrement mises à jour pour Windows, Windows Server et d'autres produits, qui peuvent être comparées aux stratégies de groupe existantes via le Security Compliance Toolkit. Pour les audits, une règle s'impose : le référentiel, la version et le profil doivent figurer explicitement dans le rapport – faute de quoi les résultats ne sont pas reproductibles.

Le compendium IT-Grundschutz du BSI (Edition 2023) contient 111 modules répartis en dix couches et formule, pour chaque module, des exigences de base et standard ainsi que des exigences pour des besoins de protection accrus. Les modules proches des systèmes, comme APP.2.2 Active Directory Domain Services – entièrement révisé pour l'édition 2023 – ou NET.3.2 Firewall, sont particulièrement pertinents pour les audits techniques. Par rapport aux prescriptions de paramétrage détaillées des CIS Benchmarks, les modules IT-Grundschutz sont plus abstraits, mais ils couvrent aussi des aspects organisationnels et opérationnels et se rattachent directement à un SMSI selon les standards du BSI ou ISO/IEC 27001. Le BSI fait actuellement évoluer l'IT-Grundschutz vers un corpus de règles numérique entièrement orienté processus, dont les règles pourront aussi être évaluées de manière automatisée ; selon le BSI, le compendium reste applicable pendant la période de transition de plusieurs années.

Sur le plan méthodologique, les audits de sécurité s'appuient sur ISO 19011, les lignes directrices pour l'audit des systèmes de management : des objectifs et critères d'audit définis, un programme d'audit planifié et des constats fondés sur des preuves. Le déroulement type : cadrage (systèmes, référentiel, besoins de protection), collecte des données via des exports de configuration, des accès outillés en lecture seule, des entretiens et une revue documentaire, puis comparaison avec le référentiel et évaluation de chaque écart dans son contexte – tout écart ne constitue pas un risque si des contrôles compensatoires sont en place. Le rapport sépare une synthèse managériale, avec vue d'ensemble et principaux risques, de la partie technique, où chaque constat est documenté avec preuve, évaluation du risque et recommandation concrète. L'essentiel est la priorisation selon le risque réel plutôt que selon le simple taux de conformité à une check-list.

Il n'existe pas de rythme de contrôle universellement contraignant pour les audits techniques – la périodicité doit être définie sur la base des risques. Une bonne pratique consiste à auditer chaque année les systèmes critiques comme Active Directory, les pare-feu centraux et les tenants cloud, et en outre après des changements majeurs (migrations, nouvelles plateformes, fusions d'entreprises). Au niveau de la conformité, ISO/IEC 27001 exige des audits internes à intervalles planifiés (chapitre 9.2) ; les certificats suivent un cycle de trois ans avec des audits de surveillance annuels. Comme les CIS Benchmarks et les baselines des éditeurs sont mis à jour en continu et que les configurations dérivent en exploitation, de nombreuses organisations complètent les audits ponctuels par une surveillance continue et outillée des configurations.