Audit de cybersécurité

Un audit de cybersécurité est une évaluation systématique et documentée d'un système d'information, d'une organisation ou d'une infrastructure numérique visant à mesurer le niveau de sécurité en place, à identifier les vulnérabilités et à vérifier la conformité aux normes et réglementations applicables. Distinct du simple contrôle ponctuel, l'audit de cybersécurité suit une méthodologie structurée et aboutit à un rapport formel présentant les constats, les risques associés et des recommandations priorisées. Il constitue un outil fondamental de gouvernance de la sécurité numérique pour les entreprises, les administrations publiques et les organisations de toute taille, dans le domaine plus large de la Cybersécurité.

Définition et périmètre

L'audit de cybersécurité se distingue de l'audit informatique général par sa focalisation sur la protection contre les cyberattaques, la confidentialité des données, l'intégrité des systèmes et la disponibilité des services. Son périmètre peut couvrir :

• les infrastructures réseau (routeurs, pare-feux, commutateurs) ;
• les applications métier et les services web ;
• les postes de travail et terminaux mobiles ;
• les politiques de sécurité et les processus organisationnels ;
• la gestion des accès et des identités (Gestion des identités et des accès) ;
• les environnements cloud et hybrides.

La profondeur de l'audit dépend du mandat confié à l'auditeur : un audit en boîte noire (black-box) simule un attaquant externe sans connaissance préalable du système, un audit en boîte grise (grey-box) accorde un accès partiel, tandis qu'un audit en boîte blanche (white-box) fournit à l'auditeur l'ensemble de la documentation, des codes sources et des configurations.

Types d'audits de cybersécurité

Audit de conformité

L'audit de conformité vérifie l'alignement de l'organisation sur un référentiel externe : ISO/IEC 27001, NIST Cybersecurity Framework, PCI DSS pour les opérateurs de paiement, ou les exigences de la Directive NIS2 et de la réglementation RGPD. Il produit une analyse d'écart (gap analysis) entre la situation observée et les exigences du référentiel, sans nécessairement inclure une exploration technique approfondie des systèmes.

Audit technique

L'audit technique analyse les configurations des équipements, des systèmes d'exploitation et des applications pour détecter des failles de paramétrage, des versions logicielles obsolètes ou des vulnérabilités connues référencées dans la base CVE (Common Vulnerabilities and Exposures). Des outils automatisés de scan de vulnérabilités comme Nessus, OpenVAS ou Qualys complètent l'analyse manuelle conduite par l'auditeur.

Test d'intrusion

Le Test d'intrusion (penetration testing ou pentest) consiste à simuler une attaque réelle afin de vérifier l'exploitabilité effective des vulnérabilités identifiées. Il peut être conduit par une équipe interne ou un prestataire externe selon une approche Red team, et suit des phases structurées : reconnaissance, cartographie, exploitation, post-exploitation et restitution. Contrairement à un audit de conformité, le test d'intrusion évalue la résistance opérationnelle du système face à un adversaire actif utilisant des techniques réelles.

Audit organisationnel et de gouvernance

Cet audit s'attache aux dimensions humaines et procédurales : politique de sécurité, sensibilisation des employés, gestion des incidents, plans de continuité (Plan de continuité d'activité) et de reprise (Plan de reprise d'activité informatique). Il évalue le rôle et les ressources du Responsable de la sécurité des systèmes d'information (RSSI), la maturité des processus de pilotage de la sécurité et l'efficacité des procédures de réponse aux incidents.

Méthodologie

Phases d'un audit

Un audit de cybersécurité se déroule typiquement en cinq phases :

1. Cadrage : définition du périmètre, des objectifs, des contraintes légales et des interlocuteurs. Signature d'une convention de mission et d'une clause de confidentialité.
2. Collecte d'informations : revue documentaire (politiques de sécurité, schémas réseau, journaux d'événements), entretiens avec les équipes techniques et les responsables métier.
3. Évaluation technique : scans automatisés, analyses manuelles de configurations, tests d'intrusion si prévus au mandat.
4. Analyse et qualification des risques : priorisation des constats selon la vraisemblance d'exploitation et l'impact potentiel sur la confidentialité, l'intégrité et la disponibilité.
5. Restitution : rédaction d'un rapport structuré, présentation orale aux parties prenantes, plan de remédiation avec jalons.

Référentiels et normes

Plusieurs référentiels structurent la pratique de l'audit de cybersécurité :

Référentiel	Objet	Portée
ISO/IEC 27001	Système de management de la sécurité de l'information (SMSI)	Internationale
ISO/IEC 27017	Contrôles de sécurité pour les services cloud	Internationale
NIST Cybersecurity Framework	Cadre de gestion des risques cybernétiques en cinq fonctions	Internationale
EBIOS Risk Manager	Méthode d'analyse des risques numériques par scénarios	Française (ANSSI)
PCI DSS	Sécurité des données de cartes de paiement	Internationale (secteur financier)
OWASP	Sécurité des applications web, liste des dix risques principaux	Internationale

Qualification des risques

La qualification des risques repose sur des matrices combinant la probabilité d'occurrence et la gravité de l'impact. EBIOS Risk Manager, développé par l'ANSSI, propose une approche par scénarios de menace adaptée au contexte organisationnel français. Le score CVSS (Common Vulnerability Scoring System), qui s'étend de 0 à 10, est utilisé pour noter la criticité des vulnérabilités techniques : un score supérieur à 9,0 est qualifié de critique et appelle une remédiation immédiate ; un score entre 7,0 et 8,9 est qualifié d'élevé.

Cadre réglementaire

Réglementations européennes

La Directive NIS2, transposée en droit français au 1er janvier 2025, impose aux entités essentielles et importantes la réalisation d'audits réguliers et la mise en place de mesures techniques proportionnées au risque. Elle concerne environ 600 types d'entités réparties dans 18 secteurs d'activité en France, contre une centaine d'opérateurs de services essentiels sous la Directive NIS initiale.

Le règlement DORA, applicable aux entités financières depuis le 17 janvier 2025, exige des tests de résilience opérationnelle numérique avancés — les TLPT (Threat-Led Penetration Testing) — pour les établissements d'importance systémique. Ces tests sont conduits par des prestataires externes agréés sur la base du renseignement sur les menaces actives.

Le Cyber Resilience Act, adopté par le Parlement européen en mars 2024, introduit des obligations de cybersécurité par conception (security by design) pour les produits numériques mis sur le marché européen, ce qui implique des audits de conformité lors de leur commercialisation. La réglementation RGPD impose des mesures techniques appropriées en vertu de son article 32 ; la Commission nationale de l'informatique et des libertés est habilitée à effectuer des contrôles en France et peut prononcer des amendes allant jusqu'à 4 % du chiffre d'affaires mondial annuel.

Qualification nationale PASSI

L'ANSSI a établi le référentiel d'exigences pour les prestataires d'audit de la sécurité des systèmes d'information (PASSI). La qualification PASSI atteste de la compétence, de l'indépendance et des moyens des sociétés d'audit. Elle est disponible en deux niveaux : PASSI Qualifié, requis pour les audits les plus sensibles notamment chez les opérateurs d'importance vitale (OIV), et PASSI Certifié pour un périmètre intermédiaire.

Acteurs et organisation

Auditeurs internes et externes

L'audit peut être conduit en interne par les équipes du SOC ou par un RSSI disposant des compétences requises, ou confié à un cabinet externe qualifié PASSI pour les périmètres sensibles. L'audit externe apporte une indépendance et une vision comparative issue d'un portefeuille de missions diversifiées. Dans les grandes organisations, les deux approches coexistent : l'audit interne assure la surveillance continue, l'audit externe valide périodiquement la posture globale de sécurité.

Certifications professionnelles

Les auditeurs spécialisés peuvent détenir des certifications reconnues : CISA (Certified Information Systems Auditor, délivrée par l'ISACA depuis 1978), CISSP (Certified Information Systems Security Professional), CEH (Certified Ethical Hacker) ou diverses certifications GIAC (Global Information Assurance Certification). L'Ingénieur en cybersécurité constitue le profil technique de référence pour conduire les volets d'évaluation approfondie lors des audits.

Coordination avec les équipes de sécurité

Le Responsable de la sécurité des systèmes d'information est le principal commanditaire des audits et en exploite les résultats pour orienter la feuille de route sécurité. Il travaille en lien avec le compliance officer pour les aspects réglementaires et coordonne avec les équipes du CSIRT pour la réponse aux incidents éventuellement découverts en cours d'audit.

Outils et techniques

Outils de scan et d'analyse

Les audits techniques s'appuient sur un ensemble d'outils spécialisés :

• Scanners de vulnérabilités : Nessus, OpenVAS, Qualys — détection automatisée de failles connues par comparaison avec des bases CVE.
• Analyseurs de trafic réseau : Wireshark, tcpdump — capture et analyse des flux pour détecter des anomalies ou des communications non autorisées.
• Frameworks de test d'intrusion : Metasploit pour les systèmes, Burp Suite et OWASP ZAP pour les applications web.
• Outils d'audit Active Directory : BloodHound, PingCastle — cartographie des chemins d'attaque dans les environnements Windows.
• Plateformes SIEM (SIEM) : agrégation et corrélation des journaux d'événements pour identifier des comportements anormaux.

Techniques d'évaluation

La Détection d'intrusion passive repose sur l'analyse des journaux produits par les systèmes, les applications et les équipements réseau. L'Authentification multifacteur est systématiquement évaluée lors des audits d'accès. Le chiffrement des données au repos et en transit est vérifié par rapport aux algorithmes et longueurs de clé conformes aux recommandations de l'ANSSI et aux standards de Cryptographie. Les configurations VPN et les règles de pare-feu font l'objet d'un examen approfondi.

L'Intelligence artificielle en cybersécurité est progressivement intégrée dans les outils d'audit pour l'analyse comportementale et la détection d'anomalies, notamment dans les environnements à forte volumétrie de journaux d'événements.

L'approche Zero Trust modifie la logique d'audit en imposant une vérification systématique de chaque accès, indépendamment de la position dans le réseau. Les audits doivent désormais évaluer la granularité des politiques d'accès et l'efficacité des mécanismes de microsegmentation réseau.

Livrables et rapport d'audit

Le rapport d'audit constitue le livrable central d'une mission. Il comporte généralement :

• un résumé exécutif destiné aux décideurs (direction générale, conseil d'administration) ;
• la description précise du périmètre audité et de la méthodologie employée ;
• le détail des constats classés par criticité (critique, élevée, moyenne, faible), chacun accompagné de preuves techniques reproductibles ;
• pour chaque constat : description de la vulnérabilité, vecteur d'attaque, impact potentiel sur la confidentialité, l'intégrité ou la disponibilité, et recommandation de remédiation ;
• un plan d'action priorisé avec des délais indicatifs de correction.

Les constats critiques (score CVSS ≥ 9,0) doivent être remontés immédiatement à la direction et corrigés dans un délai inférieur à 30 jours selon les bonnes pratiques du secteur. Les vulnérabilités élevées (score entre 7,0 et 8,9) appellent généralement une remédiation dans un délai de 60 à 90 jours.

Fréquence et planification

La fréquence des audits dépend du niveau de sensibilité de l'organisation, des obligations réglementaires et des évolutions de l'architecture informatique. Les organisations soumises à PCI DSS doivent réaliser des scans de vulnérabilités trimestriels et un test d'intrusion annuel. En pratique, les experts recommandent un audit complet tous les 12 à 24 mois, complété par une surveillance continue via un SIEM et un SOC opérationnel.

Les événements déclencheurs justifiant un audit non planifié incluent : une migration vers le cloud, une fusion-acquisition, un incident de sécurité significatif (ransomware, hameçonnage ciblé, violation de données), un changement majeur d'architecture réseau ou l'entrée en vigueur d'une nouvelle réglementation contraignante.

Spécificités sectorielles

PME

Pour les PME, l'audit est souvent simplifié et concentré sur les risques les plus probables : mots de passe faibles, absence de sauvegardes régulières, absence de mise à jour des systèmes et exposition inutile de services sur Internet. L'ANSSI a publié le guide « La cybersécurité pour les TPE/PME en 12 questions » qui sert de trame d'autoévaluation préalable à un audit formel. Selon le rapport Hiscox 2023, 53 % des PME françaises ayant subi une cyberattaque n'avaient procédé à aucun audit de sécurité dans les douze mois précédents.

Secteur financier

Le secteur financier est soumis au règlement DORA ainsi qu'au cadre TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) de la Banque centrale européenne. Les audits incluent des simulations d'attaque avancées pilotées par le renseignement sur les menaces actives ciblant les infrastructures financières critiques.

Administrations publiques

En France, les opérateurs d'importance vitale (OIV) et les opérateurs de services essentiels (OSE) sont soumis aux contrôles de l'ANSSI et doivent suivre les règles de sécurité sectorielles publiées par arrêtés ministériels. Les services de l'État appliquent le référentiel général de sécurité (RGS), qui prescrit des niveaux d'audit selon la sensibilité des téléservices, avec une distinction entre les niveaux étoile (*) et double étoile (**).

Limites et perspectives

Un audit de cybersécurité fournit une photographie à un instant T du niveau de sécurité d'une organisation. La découverte de nouvelles vulnérabilités entre deux audits, l'évolution des techniques d'attaque et les modifications de l'architecture informatique réduisent la durée de validité des conclusions : une organisation auditée en janvier peut présenter de nouveaux risques en mars si son parc logiciel n'est pas maintenu à jour.

C'est pourquoi l'audit ponctuel est aujourd'hui systématiquement complété par une surveillance continue reposant sur un SIEM, un SOC opérationnel et éventuellement un programme de bug bounty permettant à des chercheurs extérieurs de signaler des vulnérabilités de manière responsable.

La qualité d'un audit dépend également de la coopération des équipes internes et de l'accès effectif accordé à l'auditeur : un périmètre arbitrairement restreint ou des informations incomplètes peuvent conduire à une sous-estimation du niveau de risque réel. La Directive NIS puis la Directive NIS2 ont renforcé les obligations de transparence des entités auditées vis-à-vis des autorités compétentes.

Voir aussi

• Cybersécurité
• Test d'intrusion
• ISO/IEC 27001
• ANSSI
• Responsable de la sécurité des systèmes d'information
• Directive NIS2
• Modèle Zero Trust
• Vulnérabilité informatique
• Red team
• SOC (Security Operations Center)