Évaluer votre niveau de conformité et définir les actions correctives en cybersécurité

L'approche la plus pragmatique consiste à se procurer le référentiel auquel vous souhaitez vous conformer et à vérifier, point par point, que chacune de ses exigences est respectée. Pour certains référentiels, comme ceux de l'ANSSI ou l'ISO/IEC 27001, il est également possible de récupérer la trame d'audit. Il s'agit du document utilisé par les auditeurs, qui recense l'ensemble des exigences et des contrôles à évaluer. Il constitue une excellente base de travail pour préparer ou réaliser votre propre évaluation.

Cette évaluation peut être conduite en interne ou confiée à un organisme externe. Le recours à un auditeur indépendant apporte généralement davantage d'objectivité et permet de bénéficier d'un regard fondé sur une expérience acquise auprès de nombreuses organisations.

Enfin, si votre organisation dispose déjà d'un processus d'audit interne et de gestion des non-conformités, il est pertinent de s'appuyer sur cette démarche afin d'intégrer naturellement l'évaluation de conformité dans vos pratiques existantes.

Un audit de certification est un audit de conformité réalisé dans le but d'obtenir ou de renouveler une certification. Il est conduit selon les règles définies par l'organisme de certification et permet de vérifier que les exigences du référentiel sont effectivement respectées.

À l'inverse, un audit de conformité n'a pas nécessairement pour objectif l'obtention d'une certification. Il peut être réalisé dans le cadre d'un audit blanc, d'une démarche d'amélioration continue ou pour préparer une future certification. Par ailleurs, certains référentiels de cybersécurité ne donnent pas lieu à une certification.

Au-delà de la certification elle-même, l'essentiel reste de mettre en œuvre les bonnes pratiques du référentiel afin d'améliorer durablement le niveau de sécurité de votre organisation.

Lorsqu'un écart de conformité est constaté, il convient d'en évaluer les conséquences et de mettre en œuvre les mesures nécessaires pour rétablir la conformité ou réduire le risque. Il est ensuite indispensable d'identifier les causes de cette non-conformité afin de mettre en place des actions correctives permettant d'éviter qu'elle ne se reproduise.

Selon sa nature, la correction d'un écart peut nécessiter des mesures techniques, organisationnelles, documentaires ou humaines. L'objectif n'est pas uniquement de corriger le constat réalisé lors de l'audit, mais de traiter durablement son origine.

Les actions correctives doivent être priorisées en fonction de la criticité des écarts constatés et des risques associés. Lorsqu'une évaluation s'inscrit dans un processus de certification, une non-conformité majeure entraîne la suspension ou empêche l'obtention de la certification tant qu'elle n'a pas été levée.

Il n'existe pas de fréquence universelle. La périodicité d'une évaluation de conformité dépend du référentiel concerné, des exigences réglementaires éventuelles, mais aussi des évolutions de votre organisation. Une modification importante de votre système d'information, de vos processus ou de votre périmètre peut justifier une nouvelle évaluation.

En dehors d'une certification, un audit interne annuel constitue généralement un bon rythme pour vérifier que les exigences du référentiel restent respectées et que les actions correctives mises en œuvre demeurent efficaces.

Dans le cadre d'un processus de certification, les audits sont réalisés selon une périodicité définie par le référentiel et l'organisme certificateur. Il est alors recommandé de réaliser des audits blancs entre deux audits de certification afin d'anticiper les éventuels écarts et d'aborder les évaluations officielles avec davantage de sérénité.