Le déroulement
Cinq phases, neuf semaines
Le calendrier ci-dessous est indicatif : il suppose que les documents arrivent dans les dix jours et que les interlocuteurs sont disponibles pour les entretiens.
Préparation et cadrage9 jours · semaines 1 et 2
Réunion de lancement avec la direction de l'audit interne et le RSSI. On fixe le périmètre, les référentiels applicables et le niveau de risque de chaque domaine. Quatre domaines sont jugés à risque élevé : les accès, la continuité, les incidents et les fournisseurs.
Produit : le plan d'audit et la liste des documents à demander, envoyée le jour même.
Revue documentaire9 jours · semaines 2 et 3
Les documents reçus sont pointés sur la liste. Les relances partent à J+10. La lecture des politiques permet déjà d'écarter quelques questions sans objet et d'orienter les tests.
Produit : la liste de suivi des documents et le programme de travail ajusté.
Tests et entretiens27 jours · semaines 4 à 7
Chaque fiche est exécutée : étapes de test, échantillon, preuves. Chaque question reçoit une note de 1 à 4 selon ses propres critères, et toute note 3 ou 4 est documentée par une observation.
Produit : les questionnaires notés et les dossiers de preuves.
Synthèse et restitution9 jours · semaine 8
Les notes sont consolidées par domaine. Les constats sont validés avec les audités, puis présentés à la direction.
Produit : la synthèse des notes et le support de restitution.
Rapport final6 jours · semaine 9
Rapport, plan d'action priorisé et table de concordance : pour chaque exigence des référentiels retenus, le test qui la couvre et son résultat.
Produit : le rapport et le plan d'action.
Le plan d'audit
Les jours suivent le risque
Le générateur répartit les 27 jours de tests au prorata du risque retenu : trois jours pour un domaine à risque élevé, deux pour un risque moyen, un pour un risque faible.
Mission fictive : diagnostic d'un assureur, 60 jours-homme, profondeur standard. Les chiffres ci-dessous sont calculés selon la règle du générateur.
Phases et charge
| Phase | Jours |
|---|---|
| Préparation et cadrage | 9 |
| Revue documentaire | 9 |
| Tests et entretiens | 27 |
| Synthèse et restitution | 9 |
| Rapport final | 6 |
| Total | 60 |
Répartition des tests par domaine
| Domaine | Risque | Jours de tests | Questions disponibles |
|---|---|---|---|
| Gouvernance et politiques | Moyen | 2 | 21 |
| Gestion des risques IT | Moyen | 2 | 20 |
| Ressources humaines et personnel | Faible | 1 | 20 |
| Gestion des accès et des identités | Élevé | 3 | 20 |
| Sécurité physique et matériels | Faible | 1 | 20 |
| Sécurité réseau et supervision | Moyen | 2 | 20 |
| Vulnérabilités et correctifs | Moyen | 2 | 20 |
| Gestion des changements et du développement | Moyen | 2 | 21 |
| Sauvegardes et continuité | Élevé | 3 | 20 |
| Gestion des incidents | Élevé | 3 | 20 |
| Fournisseurs et cloud | Élevé | 3 | 22 |
| Protection des données personnelles | Moyen | 2 | 6 |
| Intelligence artificielle | Faible | 1 | 6 |
Les documents demandés
La liste part le jour du lancement
Elle est envoyée avec une date de retour à dix jours ouvrés, puis sert de tableau de suivi. Extrait, avec l'état fictif des réceptions à J+10 :
| Domaine | Document demandé | Pour la question | À J+10 (fictif) |
|---|---|---|---|
| ACCE | Politique de gestion des accès et des habilitations en vigueur | ACCE-14 | Reçu |
| ACCE | Rapports des deux dernières revues des droits, avec les validations des propriétaires | ACCE-14 | Reçu |
| ACCE | Tickets de retrait et états des droits avant et après la dernière revue | ACCE-14 | En attente |
| ACCE | Liste des comptes à privilèges et paramétrage de l'authentification multifacteur | ACCE-11 | Reçu |
| CONT | Politique de sauvegarde et procès-verbaux des derniers tests de restauration | CONT-04 | Reçu |
| INCI | Procédure de classification des incidents et registre des incidents des douze derniers mois | INCI-15 | Reçu |
| INCI | Notifications d'incidents majeurs adressées à l'autorité, avec leurs dates | INCI-15 | En attente |
| TIER | Registre des prestataires TIC et contrats des services critiques | TIER-14 | Reçu |
| TIER | Stratégies de sortie et comptes rendus des tests de réversibilité | TIER-14 | En attente |
Un test, pas à pas
La revue des droits d'accès (ACCE-14)
La fiche ACCE-14, présentée en entier sur la page La Méthode, demande si les droits d'accès sont recertifiés périodiquement par les propriétaires d'applications ou de données. Voici ce que l'auditeur a constaté, étape par étape.
| N° | Étape de test (fiche) | Constat (fictif) |
|---|---|---|
| 1 | Obtenir la fréquence définie par la politique et les 2 dernières revues | Politique : revue semestrielle. Revues de janvier et de juillet obtenues. |
| 2 | Pour la dernière revue, vérifier le périmètre, les approbateurs et la date de retour | 5 applications critiques dans le périmètre, 5 revues menées. Retours reçus sous trois semaines. |
| 3 | Vérifier que les droits à retirer ont été effectivement retirés (comparer l'état avant et après) | 48 droits à retirer ; 9 encore actifs un mois après la revue, soit 19 %. |
| 4 | Rapprocher les approbateurs des propriétaires désignés | Conformes pour 4 applications sur 5 ; une revue validée par un délégué non désigné. |
Insatisfaisant. Critère 3 de la fiche : retraits non effectués pour 10 à 25 % des droits.
Observation : la revue est faite, mais elle n'a pas d'effet complet, puisque 9 droits sur 48 restent actifs. Recommandation : rattacher chaque retrait à un ticket et contrôler sa clôture avant de clore la revue.
Tester une fois, couvrir tout. Ce seul test répond en même temps à ISO/IEC 27001:2022 Annexe A.5.18, à NIS2 art. 21(2)(i) et à NIST CSF 2.0 PR.AA-05. Le constat est rédigé une fois et reporté dans la table de concordance pour chacun de ces textes.
La synthèse des notes
Ce que la direction lit en premier
Moyenne des notes par domaine (1 = satisfaisant, 4 = insatisfaisant critique), nombre de constats notés 3 ou 4 et principal constat. Toutes les valeurs sont fictives.
| Domaine | Risque retenu | Moyenne | Notes 3 ou 4 | Principal constat |
|---|---|---|---|---|
| Gouvernance et politiques | Moyen | 1,9 | 1 | — |
| Gestion des risques IT | Moyen | 2,0 | 2 | — |
| Ressources humaines et personnel | Faible | 1,4 | 0 | — |
| Gestion des accès et des identités | Élevé | 2,6 | 4 | Retraits de droits incomplets après revue (ACCE-14) |
| Sécurité physique et matériels | Faible | 1,3 | 0 | — |
| Sécurité réseau et supervision | Moyen | 2,1 | 2 | — |
| Vulnérabilités et correctifs | Moyen | 2,5 | 3 | Correctifs critiques appliqués hors délai sur une partie des serveurs |
| Gestion des changements et du développement | Moyen | 2,0 | 1 | — |
| Sauvegardes et continuité | Élevé | 2,2 | 2 | Restaurations testées sur un périmètre partiel (CONT-04) |
| Gestion des incidents | Élevé | 1,9 | 1 | — |
| Fournisseurs et cloud | Élevé | 2,7 | 4 | Stratégies de sortie non testées pour deux services critiques (TIER-14) |
| Protection des données personnelles | Moyen | 1,8 | 0 | — |
| Intelligence artificielle | Faible | 2,8 | 2 | Usage d'outils d'IA générative non encadré (IA-05) |
Lecture : les fournisseurs et les accès concentrent les écarts, comme l'avait anticipé la pondération du plan. L'intelligence artificielle, jugée à risque faible au cadrage, ressort avec une moyenne élevée : un point à remonter au cadrage de la prochaine mission.
Les livrables
Ce que reçoit l'entité
À la fin de la mission, chaque livrable découle du même cadrage et des mêmes fiches : rien n'est ressaisi d'un document à l'autre.
- Le plan d'audit et le programme de travail
- La liste des documents à demander, puis son suivi
- Les questionnaires notés, avec les observations et les preuves
- La synthèse des notes et le support de restitution
- Le rapport, le plan d'action priorisé et la table de concordance
Votre contexte est différent ? Je construis le plan avec vous, à partir de vos obligations et de vos risques, et vous adresse une proposition adaptée.
Demander une proposition →