Audit de sécurité : le vrai risque n'est pas le rapport, c'est ce qu'on en fait

Siècle Digital rapporte qu'un audit consacré à la sécurité numérique du Louvre, décrit comme accablant, a refait surface. L'article ne concerne pas les entreprises privées, mais il met en lumière un enchaînement que beaucoup de dirigeants connaissent : un diagnostic est réalisé, des faiblesses sont documentées, puis le rapport reste dans un tiroir jusqu'à ce qu'un événement le remette au premier plan. C'est ce cycle qu'il faut chercher à éviter.

La leçon pratique est directe : un audit ne protège pas, il informe. La valeur d'une mission de diagnostic ne se mesure pas au nombre de pages du rapport ni à la sévérité du ton, mais au nombre de corrections effectivement réalisées et vérifiées dans les mois qui suivent. Un prestataire qui livre un document sans plan d'action exploitable n'a fait que la moitié du travail attendu.

Quand vous consultez une agence ou un cabinet pour un audit, exigez donc que le livrable comprenne une feuille de route. Chaque constat doit être associé à une correction possible, à un ordre de grandeur de charge, à un niveau de priorité et à un responsable pressenti, interne ou externe. Sans cela, vous obtenez une liste de problèmes que personne dans votre organisation ne saura traduire en décisions.

Prévoyez également une contre-vérification. Une bonne pratique consiste à inscrire au contrat une seconde passe, quelques mois après la remise du rapport, destinée à contrôler que les corrections annoncées ont bien été appliquées et qu'elles produisent l'effet attendu. Cette clause coûte peu et change radicalement la portée de la mission.

La question de la confidentialité mérite une attention particulière. Un rapport de sécurité décrit précisément vos faiblesses : il constitue une information sensible. Encadrez sa diffusion, limitez le nombre de destinataires, prévoyez son mode de transmission et de conservation, et faites signer un engagement de confidentialité au prestataire. Un document de ce type qui circule sans contrôle devient un risque en soi.

Côté sélection du prestataire, vérifiez que la mission est bien délimitée. Un audit de sécurité peut porter sur le code d'une application, sur la configuration d'un hébergement, sur les accès et les droits, sur les sauvegardes, sur les pratiques des équipes, ou sur tout cela à la fois. Faites préciser le périmètre exact, les tests qui seront réalisés, ceux qui ne le seront pas, et les autorisations nécessaires avant toute intervention.

N'oubliez pas la dimension réglementaire. Si votre système traite des données personnelles, les constats d'un audit peuvent avoir des conséquences en matière de protection des données et de notification en cas d'incident. La Commission nationale de l'informatique et des libertés ainsi que les services publics dédiés à la cybersécurité publient des ressources gratuites qui vous aideront à formuler vos attentes et à juger la pertinence des recommandations reçues.

Enfin, traitez la sécurité comme un processus et non comme un projet ponctuel. Les configurations évoluent, les équipes changent, les composants logiciels vieillissent. Un audit unique donne une photographie à un instant donné. Interrogez vos prestataires sur ce qu'ils proposent dans la durée : veille sur les mises à jour, sauvegardes testées, gestion des accès au départ d'un collaborateur, procédure en cas d'incident.