On m'a dit « faites faire un audit de sécurité de l'information » — c'est quoi, on peut s'en passer ?

Le cabinet d'audit va vous demander l'accès au dépôt de code, les logs serveur et la topologie réseau. Côté code ils regardent comment les données sensibles sont chiffrées, côté serveur où sont stockées les clés SSH et les mots de passe de connexion à la base de données. Si vous préparez tout ça à l'avance le processus va beaucoup plus vite.

Ne signez pas tout de suite avec un cabinet d'audit cher. Demandez directement au directeur IT du client « Est-ce qu'un rapport de test d'intrusion standard et un plan de remédiation suffiraient ? ». Dans la plupart des cas ils ne cherchent pas un audit complet mais juste la preuve que le système ne peut pas être hacké.

L'an dernier on l'a fait faire en payant 400 000 RUB. Dans le rapport l'auditeur a trouvé 9 failles dont 2 critiques. On a mis 10 jours à les corriger et ensuite on a eu un rapport clean. Grâce à ce rapport le client a signé le contrat de 3 ans en une journée, l'argent dépensé a été largement rentabilisé.

Il y a sur le marché des boîtes qui lancent un outil automatique à 150 000 roubles et sortent un PDF. Ne vous faites surtout pas avoir ; les experts sécurité du grand distributeur repèrent immédiatement que le rapport est superficiel et la crédibilité de votre boîte est complètement morte.

Les entreprises corporate s'exposent à des sanctions légales et financières en cas de violation de données provenant de leur chaîne de fournisseurs. C'est pourquoi, conformément aux procédures de gestion des risques tiers, demander un rapport d'audit est une règle d'achat standard.

L'équipe d'auditeurs qui débarque va vous demander 3 éléments principaux : 1) les résultats des tests d'intrusion sur les serveurs, 2) les logs d'accès des employés aux données internes et l'obligation de la double authentification, 3) un plan de reprise indiquant à quels intervalles et où les données sont sauvegardées.

Pour un business à 14 millions, un coût d'audit à 400 mille vaut carrément le coup, c'est pas un obstacle mais le ticket d'entrée dans la cour des grands.

J'ai travaillé longtemps sur ce sujet. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

La réponse ci-dessus va droit au but. Quand on décide sans mesurer, on revient toujours au même point.

Je le note au cas où.

J'aurais une question, sans vouloir m'éloigner du sujet. Si vous grondez les fausses alertes, plus personne ne signalera rien.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

C'est une bonne idée d'avoir ouvert ce sujet. du coup si c'est une première commencez petit l'échelle viendra plus tard.

La réponse varie beaucoup selon le secteur il n'y a pas de règle générale. Si vous écrivez le résultat ici cela aidera aussi d'autres personnes.

Je suis d'accord. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Voilà, désolé si je me suis étendu.

Je suis du même avis. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je suis du même avis. Si c'est une première, commencez petit, l'échelle viendra plus tard.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je suis du même avis. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion. Voilà, désolé si je me suis étendu.

Chez moi, c'est l'inverse qui s'est passé, c'est pourquoi j'écris. La plupart des incidents ne viennent pas d'une faille mais d'un mot de passe divulgué.

Je suis aussi curieux de savoir si d'autres font autrement.

C'est exactement ça. Quand on essaie de tout changer en même temps rien ne prend.

Bon courage.

je suis du même avis mais les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.