Nous cadrons le test ou l’audit sur ce qui compte pour vous, vous aidons à choisir le prestataire qui le réalise, consolidons les constats avec ceux des audits précédents et suivons les corrections jusqu’au recontrôle. Le rapport n’est qu’une étape.
Un test mal cadré passe à côté de vos vrais risques ; un rapport non suivi ne réduit aucun risque. Trop souvent, l’audit de l’année suivante retrouve les mêmes failles.
Nous cadrons donc chaque intervention sur vos scénarios de risque, consolidons tous les constats dans un même plan, et suivons les corrections jusqu’à leur recontrôle. L’audit suivant mesure le progrès, pas l’inertie.
Nous ne réalisons pas les tests nous-mêmes : nous les cadrons, vous aidons à choisir et à mandater le prestataire adapté, puis nous exploitons ses constats.
Vous obtenezUn cahier des charges et une autorisation de test
Vous obtenezUn prestataire sélectionné et mandaté
Vous obtenezUn plan d’action unique
Vous obtenezUn registre des constats clos et ouverts
Les textes demandent des tests réguliers et des audits, mais aussi que leurs résultats conduisent à des mesures correctives.
Les entités financières, hors microentreprises, tiennent un programme de tests de résilience pour identifier les faiblesses et y remédier rapidement ; il comprend des tests appropriés, tels qu’analyses de vulnérabilités, revues du code source lorsque c’est possible et tests d’intrusion. Certaines entités réalisent des tests fondés sur la menace (TLPT) au moins tous les trois ans.123
La directive range les politiques et procédures d’évaluation de l’efficacité des mesures de sécurité parmi les mesures que les États membres doivent exiger des entités.4
Le ReCyF (version de travail) fixe aux entités essentielles l’objectif d’audits de sécurité réguliers et planifiés, et d’une configuration sécurisée de leurs ressources, appuyée sur les recommandations de l’ANSSI ou de l’éditeur.56
Le RGPD prévoit, selon les besoins, une procédure pour tester régulièrement l’efficacité des mesures de sécurité ; la CNIL recommande des audits périodiques, chacun suivi d’un plan d’action piloté au plus haut niveau.78
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Nous suivons à intervalles convenus l’état des constats et les preuves de correction, et vous alertons sur les échéances.
LivrablesNous cadrons les tests et les audits, vous aidons à choisir le prestataire et consolidons ses constats.
LivrablesNous animons le traitement des constats avec vos équipes jusqu’au recontrôle, sans effectuer les changements dans votre SI.
LivrablesDes listes de contrôle pour Microsoft 365, Windows, Linux et les serveurs courants, fondées sur les recommandations publiées, pour cadrer l’audit et suivre les corrections.
Cahier des charges, convention d’autorisation et grille de choix d’un prestataire de test d’intrusion.
Avec l’option Expert Connect, nous présélectionnons des prestataires de test d’intrusion et d’audit de configuration ; vous choisissez et vous mandatez.
Non. Nous cadrons le besoin, vous aidons à choisir et à mandater un prestataire adapté au périmètre et aux qualifications exigées, puis nous intégrons ses constats au plan d’action et suivons les corrections. Notre regard reste ainsi indépendant de celui qui teste.
Seules certaines entités financières, identifiées selon les critères de DORA, y sont soumises, au moins tous les trois ans. Nous vous aidons à vérifier si vous en faites partie, à confirmer avec votre autorité ou votre juriste.3
Le cadrage fixe par écrit, avec le prestataire, le périmètre, les techniques autorisées, les créneaux et les contacts d’urgence ; les tests risqués se font hors production ou sous surveillance.
Ils restent au registre, avec une acceptation de risque explicite, un responsable et une date de revue. L’audit suivant les retrouve, mais comme des décisions, pas des oublis.
Décrivez le périmètre envisagé et vos derniers rapports. Nous revenons vers vous avec une proposition de cadrage.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
32022R2554-a24-p1For the purpose of assessing preparedness for handling ICT-related incidents, of identifying weaknesses, deficiencies and gaps in digital operational resilience, and of promptly implementing corrective measures, financial entities, other than microenterprises, shall, taking into account the criteria set out in Article 4(2), establish, maintain and review a sound and comprehensive digital operational resilience testing programme as an integral part of the ICT risk-management framework referred to in Article 6.32022R2554-a25-p1The digital operational resilience testing programme referred to in Article 24 shall provide, in accordance with the criteria set out in Article 4(2), for the execution of appropriate tests, such as vulnerability assessments and scans, open source analyses, network security assessments, gap analyses, physical security reviews, questionnaires and scanning software solutions, source code reviews where feasible, scenario-based tests, compatibility testing, performance testing, end-to-end testing and penetration testing.32022R2554-a26-p1Financial entities, other than entities referred to in Article 16(1), first subparagraph, and other than microenterprises, which are identified in accordance with paragraph 8, third subparagraph, of this Article, shall carry out at least every 3 years advanced testing by means of TLPT. Based on the risk profile of the financial entity and taking into account operational circumstances, the competent authority may, where necessary, request the financial entity to reduce or increase this frequency.32022L2555-a21-p2-6policies and procedures to assess the effectiveness of cybersecurity risk-management measures;recyf:obj-17Les entités [essentielles] réalisent ou font réaliser à intervalles réguliers et planifiés des audits de sécurité de leurs systèmes d’information.
Ces audits doivent permettre de vérifier l’atteinte des objectifs [de sécurité] et d’évaluer le niveau de sécurité de leurs systèmes d’information.recyf:obj-18Les entités [essentielles] limitent la surface d'attaque des composants de leurs systèmes d’information. Pour ce faire, elles s’assurent que seules les ressources logicielles nécessaires à la réalisation de leurs activités et services ou au maintien en condition opérationnelle ou de sécurité sont installées ou conservées sur leurs systèmes d’information, et elles configurent les ressources de leurs systèmes d’information de manière sécurisée en s’appuyant sur les recommandations de l’autorité nationale de sécurité des systèmes d’information, de l’éditeur de la fonctionnalité ou du fabricant de la ressource..32016R0679-a32-p1-4a process for regularly testing, assessing and evaluating the effectiveness of technical and organisational measures for ensuring the security of the processing.F01-MC-03Les audits de sécurité sont un moyen essentiel pour évaluer le niveau de sécurité des systèmes sur lesquels reposent le(s) traitement(s) de données personnelles. Réalisés de façon périodique, ils permettent de prendre en compte les évolutions du traitement et des menaces. Chaque audit doit donner lieu à un plan d’action dont la mise en œuvre devrait être suivie au plus haut niveau de l’organisme.