Un audit qui vous dit si votre conformité tiendra
Nous évaluons votre sécurité à l'aune que vous choisissez : une norme, vos propres politiques ou le questionnaire qu'un client vient de vous envoyer. Puis nous vous disons où cela plie.
Présentation
Ce qu'est un audit de sécurité de l'information
Un audit compare ce que vous déclarez faire avec ce que vous faites réellement. Le référentiel peut être l'ISO/IEC 27001 et le guide ISO/IEC 27002, le règlement général sur la protection des données (RGPD), PCI DSS, un autre cadre, votre corpus de politiques ou le questionnaire de sécurité d'un client.
Nous lisons les documents, interrogeons les responsables des mesures, puis échantillonnons les preuves. Une politique qui prévoit une revue trimestrielle des accès vaut ce que montre le compte rendu de la dernière revue.
Un audit interne ou un pré-audit n'est pas un certificat. Les certificats ISO/IEC 27001 sont délivrés par des organismes de certification accrédités, les rapports de conformité PCI DSS, lorsqu'ils sont requis, par des Qualified Security Assessors, et le respect du RGPD est apprécié en dernier ressort par les autorités de contrôle. Black Fox vous montre où vous en êtes avant qu'elles ne regardent.
À qui s'adresse ce service
Les organisations qui préparent un audit de certification ou de surveillance ISO/IEC 27001, une évaluation PCI DSS ou l'évaluation fournisseur d'un client, et les équipes qui veulent un regard extérieur sur l'application de leurs propres politiques. Également les entreprises qui doivent mener l'audit interne demandé par l'ISO/IEC 27001 sans disposer de personnes indépendantes pour le faire.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Choisir le référentiel
Nous convenons de ce qui sert de mesure : une norme, un texte de loi, vos politiques, un contrat, un questionnaire client, ou une combinaison.
Revue documentaire
Politiques, procédures, registres de risques et rapports d'audit précédents, lus pour ce qu'ils exigent et pour vérifier qu'ils ne se contredisent pas.
Entretiens
Échanges avec les responsables des mesures, l'informatique et les managers, pour voir si le processus écrit est bien celui que l'on suit.
Échantillonnage des preuves
Tickets, journaux, listes d'accès, traces de sauvegarde et exports de configuration, échantillonnés pour vérifier que les mesures fonctionnent et pas seulement qu'elles existent.
Vérifications techniques
Lorsque l'audit le demande, des contrôles ciblés de configuration sur les équipements réseau, les postes, les serveurs et les applications.
Audit interne ISO/IEC 27001
L'audit interne exigé par la norme, mené par des personnes indépendantes de celles qui ont construit les mesures.
Déroulement de la mission
Lancement
Nous convenons du référentiel, du périmètre, des interlocuteurs et de la période échantillonnée, et signons d'abord un accord de confidentialité si vous le souhaitez.
Proposition et plan d'audit
Une proposition commerciale avec le plan d'audit : ce que nous examinons, qui nous interrogeons et quelles preuves nous demanderons.
Travaux d'audit
Revue documentaire, entretiens, échantillonnage et vérifications techniques, avec des constats partagés dès qu'ils sont établis.
Restitution
Des constats classés par risque, chacun avec l'exigence, la preuve et une recommandation, présentés à votre équipe.
Clôture
Nous clôturons le projet, recueillons vos retours et, si vous le souhaitez, convenons d'un contrôle de suivi des actions correctives.
Ce que vous recevez
- Plan d'audit et définition du périmètre
- Rapport de synthèse avec une appréciation des risques liés aux constats
- Rapport technique avec preuves lorsque c'est pertinent
- Constats rattachés à l'exigence concernée
- Recommandations priorisées et liste d'actions correctives
- En option, un certificat de mission vérifiable sur notre site
Questions
Est-ce la même chose qu'un audit de certification ?
Non. Les audits de certification sont menés par des organismes de certification accrédités, et les rapports de conformité PCI DSS par des Qualified Security Assessors. Notre audit vous indique comment vous vous en sortiriez et ce qu'il faut corriger. Si vous passez ensuite à la certification, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix. Notre certificat de mission atteste que l'audit a eu lieu ; ce n'est pas une certification de conformité.
Pouvez-vous nous auditer selon le questionnaire d'un client ?
Oui. Le questionnaire devient le référentiel. Nous confrontons vos réponses aux preuves et vous disons lesquelles vous pouvez défendre et lesquelles demandent du travail avant l'envoi.
L'audit ne porte-t-il que sur les documents ?
Non. Les documents fixent l'attente, l'audit vérifie que les mesures fonctionnent. Quand c'est utile, nous ajoutons des vérifications techniques de configuration, ou un test d'intrusion dans une mission distincte.
Pouvez-vous mener notre audit interne ISO/IEC 27001 si vous nous avez accompagnés dans la mise en œuvre ?
La norme demande un audit interne objectif et impartial. Si nous avons construit vos mesures, nous convenons avec vous de la façon de préserver l'impartialité de l'audit interne, ce qui peut vouloir dire vous recommander un autre auditeur pour cette partie.
Services associés
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Conformité et certificationRGPDRGPD avec Black Fox Security : registre des traitements, AIPD, sécurité du traitement, contrats de sous-traitance, violations et droits des personnes.
- Conformité et certificationPCI DSSPCI DSS avec Black Fox Security : périmètre et segmentation, analyse d'écarts, aide au SAQ, tests d'intrusion et de segmentation, et preuves pour votre évaluateur.
- Gouvernance et risquesAppréciation des risquesAppréciation des risques infrastructure, réseau et applications par Black Fox Security : probabilité contre gravité, registre des risques et options de traitement.
Sachez-le avant l'auditeur
Dites-nous à quoi vous êtes mesurés et pour quand. Nous préparons un audit qui le vérifie.