Types d’Audit

Conformité

Audit de conformité

Objectif : Vérifier si l’organisation respecte les normes, réglementations et bonnes pratiques en vigueur.
Référentiels* :ISO 27001, ISO 27701, ISO 22301, ISO 20000, NIST 800-53, Loi 09-08, Loi 05-20, PASSI, DNSSI, RGPD, HDS, PCI-DSS*

*La liste des référentiels est non exhaustive

Organisationnel, Physique et Environnementale

Audit Organisationnel, Physique et Environnementale

Objectif : Évaluer la gouvernance, les politiques et les procédures de sécurité mises en place
Vérifier la protection physique et environnementale des infrastructures (accès, caméras, contrôle des entrées, dispositif détection/extinction de feu, climatisation, électricité).
Référentiels* :ISO 27001, ISO 27002, COBIT, ITIL, NIST 800-14, CISSP, CISA

*La liste des référentiels est non exhaustive

Technique

Audit Technique

Test d’Intrusion

Objectif : Évaluer les vulnérabilités techniques des systèmes, réseaux et applications
Référentiels* :OWASP, MITRE ATT&CK, NIST SP 800-115 (Guide sur les tests d’intrusion), PTES (Penetration Testing Execution Standard)

Audit de Code Source

Objectif : Identifier les vulnérabilités et failles de sécurité dans le code des applications.
Référentiels* :OWASP, Code Review Guide, SANS, CWE, ISO 27034 (Sécurité des applications), Guides DGSSI, Guides ANSSI

Audit de configuration

Objectif : Vérifier la conformité des configurations des équipements (pare-feu, serveurs, bases de données, postes de travail, etc.) par rapport aux bonnes pratiques de sécurité. Il permet d’identifier des mauvaises configurations qui pourraient être exploitées par des attaquants
Référentiels* :CIS Benchmarks, NIST 800-53, OWASP ASVS, Guides DGSSI, Guides ANSSI, Guides constructeurs/éditeurs

Audit d’Architecture

Objectif : Évaluer la conception et la sécurisation des infrastructures informatiques (réseaux, serveurs, applications, etc.). Il permet de détecter des failles de conception pouvant être exploitées par des attaquants
Référentiels* :TOGAF, SABSA, NIST 800-160, MITRE ATT&CK, Guides DGSSI, Guides ANSSI

*La liste des référentiels est non exhaustive

Sécurité Cloud

Audit de Sécurité Cloud

Objectif : Évaluer la sécurité des environnements cloud (SaaS, PaaS, IaaS).
Référentiels* :CSA CCM, ISO 27017, NIST 800-144

*La liste des référentiels est non exhaustive

Sécurité Opérationnelle

Audit de Sécurité Opérationnelle

Objectif : Examiner la gestion des incidents, des sauvegardes, de la surveillance des logs, de la continuité etc.
Référentiels* :ISO 27035, ITIL – Sécurité et continuité des services, NIST 800-61 (Gestion des incidents informatiques)

*La liste des référentiels est non exhaustive

SI

Audit SI

Objectif : Examiner la maturité du SI, la gouvernance et la gestion de, l’acquisition/conception/développement des systèmes d’information, l’exploitation, l’entretien et le soutien des systèmes d’information
Référentiels* : COBIT, CISA, ITIL, ISO 20000

*La liste des référentiels est non exhaustive