Se protéger
Audit de sécurité informatique
- audit de sécurité français
- security audit anglais
Un audit de sécurité informatique est une évaluation méthodique des dispositifs, procédures et configurations d’un système d’information afin de détecter les vulnérabilités et de proposer des mesures correctives.
Pour comprendre
Pour tout le monde
L’audit de sécurité informatique consiste à examiner de façon structurée l’ensemble du système d’information d’une organisation : architecture réseau, serveurs, applications, droits d’accès et procédures opérationnelles. Un auditeur, interne ou externe, utilise des listes de contrôle, des entretiens et des analyses techniques pour relever les points faibles.
Cet examen s’inscrit dans une démarche de gestion du risque et permet de vérifier la conformité aux exigences légales ou aux bonnes pratiques, comme les référentiels de l’ANSSI ou de l’ENISA. Il ne s’agit pas d’une simple vérification ponctuelle, mais d’une revue approfondie qui aboutit à un rapport détaillé contenant des constats et des recommandations.
Un audit n’est pas une surveillance continue ni une garantie d’absence de faille. Il ne remplace pas une réponse à incident ni un test d’intrusion, même s’il peut en recommander la réalisation. Les résultats restent valables tant que l’infrastructure ne change pas ; ils doivent donc être actualisés régulièrement.
Un exemple
Dans la mairie de Nouméa, le service informatique décide de faire un audit de sécurité informatique avant l’ouverture d’un nouveau portail citoyen. Un cabinet spécialisé intervient, analyse les serveurs, les accès aux bases de données et les configurations du réseau, puis remet un rapport avec des actions à mettre en place.
Les bons réflexes
Avant de lancer l’audit, vérifiez que l’auditeur possède une certification reconnue (ISO 27001, CREST, etc.) et qu’un contrat précise le périmètre, les méthodes et la confidentialité des données.
Conservez le rapport d’audit et les preuves associées dans un lieu sécurisé, en version papier ou chiffrée, afin de pouvoir les consulter lors d’un contrôle ou d’une mise à jour de vos mesures de sécurité.
Planifiez la mise en œuvre des recommandations dans les délais indiqués, en assignant des responsables, et revérifiez les correctifs après leur déploiement pour confirmer leur efficacité.
À ne pas confondre avec
- Analyse des risques informatiquesL’analyse des risques informatiques consiste à identifier, évaluer et hiérarchiser les menaces et les vulnérabilités susceptibles d’impacter les systèmes, les données et les services d’une organisation.
- Faille de sécuritéUne faille de sécurité (en anglais, security vulnerability) est un défaut de conception, de programmation ou de réglage qui peut permettre de contourner une protection ou de perturber un appareil.
Termes voisins
- Mise à jourUne mise à jour (en anglais, update) modifie un logiciel pour corriger des défauts, réparer des failles de sécurité ou apporter de nouvelles fonctions.
- Pare-feuLe pare-feu (en anglais, firewall) autorise ou bloque des échanges réseau selon des règles, à l’entrée d’un appareil ou d’un réseau et parfois à la sortie.
- SauvegardeLa sauvegarde (en anglais, backup) garde une copie récupérable de vos données pour les retrouver après un effacement, une panne ou une attaque.
- Gestionnaire de mots de passeUn gestionnaire de mots de passe (en anglais, password manager) conserve vos mots de passe dans un coffre chiffré et peut en créer de longs, différents pour chacun de vos comptes.