Audit de securite et conformite

L'audit interne evalue les controles en place par rapport aux politiques internes et aux referentiels adoptes. L'audit externe est realise par un tiers independant et apporte une credibilite supplementaire. Le pentest simule des attaques reelles pour identifier des vulnerabilites exploitables. L'evaluation de conformite verifie l'alignement avec un referentiel specifique (CIS Controls, ISO 27001, SOC 2, Loi 25). Chaque type repond a une question differente : 'Sommes-nous conformes a nos propres regles ?' vs 'Pouvons-nous etre hacks ?' vs 'Sommes-nous conformes au referentiel X ?'

Les CIS Controls (Center for Internet Security) definissent 18 familles de controles avec un systeme de Groupes d'Implementation (IG) : IG1 est le minimum pour toute organisation, IG2 pour les organisations avec une equipe IT, IG3 pour les organisations a haut risque. CyberSecure Canada est le programme federal de certification adapte aux PME canadiennes : il couvre 13 controles essentiels et la certification est accessible en quelques mois. Ces deux referentiels sont gratuits et bien documentes.

Etapes vers CyberSecure Canada : 1) Auto-evaluation initiale (questionnaire disponible sur le site cyber.gc.ca), 2) Identification des gaps et plan d'action pour les combler, 3) Implementation des controles manquants, 4) Audit par un verificateur acredite, 5) Certification et maintien annuel. Pour ISO 27001 : processus plus long (6-18 mois pour une PME) et plus couteux, mais reconnu internationalement. ISO 27001 est recommande pour les PME qui visent les marches internationaux ou les donnees tres sensibles.

Votre progression est sauvegardée localement dans votre navigateur.