Faire auditer son site ou son application

Vous voulez faire regarder votre site, ou l’outil qui fait tourner votre activité, et les deux propositions reçues n’annoncent ni le même montant ni le même travail. Le mot audit n’est défini nulle part dans un devis. Il l’est dans un document public, pour sa partie sécurité : le référentiel d’exigences que l’ANSSI publie à l’intention des sociétés candidates au titre de prestataire d’audit de la sécurité des systèmes d’information, abrégé en PASSI. Ce document sert d’abord à les qualifier, et il prévoit lui-même son second usage, puisqu’il « peut également être utilisé à titre de bonnes pratiques en dehors de toutes exigences légales, réglementaires ou contractuelles ». C’est à ce titre que nous le lisons ici. Il ne dira rien de la vitesse de vos pages, ni de votre référencement, ni du prix. Il nomme en revanche cinq activités d’audit, il sépare ce qui s’impose à un prestataire de ce qui lui est seulement conseillé, il énumère les documents qui encadrent la mission et ce que votre rapport doit contenir. Ces quatre points se posent dans cet ordre, et les deux derniers décident de ce que vous pourrez réclamer.

Côté sécurité, le mot audit recouvre cinq activités

Les cinq activités ne portent pas sur le même objet, et chacune mesure une conformité ou un niveau de sécurité plutôt que la qualité générale de votre outil. L’audit d’architecture analyse notamment les choix de positionnement et de mise en œuvre des dispositifs matériels et logiciels déployés dans votre système, c’est-à-dire la façon dont les morceaux sont placés les uns par rapport aux autres, et il peut s’étendre aux interconnexions avec des réseaux extérieurs, Internet compris. L’audit de configuration porte sur le réglage de ces mêmes dispositifs, équipements réseau, systèmes d’exploitation, applications ou produits de sécurité entre autres. L’audit de code source évalue tout ou partie du code d’un logiciel, ou ses conditions de compilation et d’exécution. Le test d’intrusion identifie des vulnérabilités, c’est-à-dire des faiblesses qu’une menace peut exploiter, et le cas échéant les exploite. L’audit organisationnel et physique porte sur la gouvernance, les politiques et les procédures de sécurité, et peut descendre jusqu’au contrôle d’accès à vos locaux.

Cette séparation vous sert deux fois. Quand vous rédigez votre demande, elle vous donne les termes à employer, et deux prestataires qui répondent sur les mêmes activités produisent enfin des propositions que vous pouvez poser côte à côte. Quand vous les comparez, elle vous donne la question à poser à la moins chère : ce qu’elle a laissé hors du périmètre. La réponse peut être qu’elle n’en a rien laissé et qu’elle est simplement moins chère. Si seul le code vous occupe, parce qu’une reprise se profile, c’est un examen du code mené avant de reprendre un projet que vous commandez.

Une confusion répandue se tranche au passage, en une phrase. « La réalisation entièrement automatisée d’une activité d’audit ne représente pas une activité au sens du référentiel. » Un rapport produit par un outil lancé sur votre adresse n’est donc pas un audit. Le rapport d’une prestation qualifiée doit d’ailleurs identifier, le cas échéant, les activités réalisées en partie de manière automatique. Vous avez donc une question à poser plutôt qu’un nom d’outil à collectionner : qui lit les résultats, et ce qu’il en retient.

Sur un site ouvert et sur un outil interne, les activités retenues ne sont pas les mêmes

Aucune des cinq activités ne passe avant les autres dans le document. Le choix vous revient, et il se prend sur ce que vous craignez. Un site ouvert à vos visiteurs vous expose à quelqu’un que vous ne connaissez pas. Un outil qui porte vos dossiers vous expose en plus à ce que chaque compte autorisé peut atteindre, y compris les comptes restés ouverts après un départ.

Deux demandes arrivent fréquemment dans le même courriel et relèvent d’autres travaux, étrangers à ce référentiel. Le temps que vos pages mettent à s’afficher chez vos visiteurs relève d’un relevé des temps réels, appareil par appareil. La façon dont un moteur parcourt vos adresses et décide lesquelles garder relève de la part technique de votre référencement. Les trois périmètres s’écrivent séparément, même quand les trois travaux partent le même jour.

Le test d’intrusion commandé seul, et les précautions qui l’entourent

C’est l’activité dont le résultat se raconte le mieux, et celle que l’ANSSI entoure du plus grand nombre de précautions. Elle ne devrait jamais être réalisée seule, mais toujours complétée de l’audit de configuration, de l’audit d’architecture et, si besoin, de l’audit de code source. Un test établit qu’une faille s’exploite. Il n’établit rien sur celles qu’il n’a pas cherchées.

Trois précautions changent ce que vous préparez, et aucune ne vaut pour les quatre autres activités, que l’ANSSI conseille au contraire de mener sur vos environnements de production. Les tests se mènent sur un environnement de test ou de préproduction, c’est-à-dire une copie de votre outil qui ne sert pas vos clients, lorsque cela est possible, pour éviter les conséquences d’une perturbation. Ils s’écartent des environnements mutualisés, c’est-à-dire des serveurs partagés avec d’autres clients de votre hébergeur, sauf accord de celui-ci et après que les risques ont été évalués et maîtrisés et les responsabilités clairement établies. Vous pouvez enfin exiger du prestataire, dans la note de cadrage dont il sera question plus loin et avant tout test, qu’il établisse une fiche d’autorisation signée par l’entité dont le système est testé, identifiant notamment les cibles, les adresses d’où partent les tests, leurs dates et heures, et la durée de l’autorisation. Ces précautions appartiennent à l’activité qui va jusqu’à exploiter ce qu’elle trouve.

Exigence ou recommandation, la ligne qui décide de ce que vous pouvez réclamer

Deux statuts cohabitent dans le document et ne vous donnent pas la même prise. Les exigences doivent être respectées par un prestataire qui veut obtenir la qualification. Pour le reste, le texte est explicite : « Les recommandations sont données à titre de bonnes pratiques et ne font pas l’objet de vérification pour obtenir la qualification. » Les conseils adressés aux commanditaires, c’est-à-dire à celui qui commande l’audit, sont réunis dans l’annexe 3 et relèvent tous de ce second statut. Lisez-les comme une liste de points à négocier, jamais comme un droit acquis.

Cette distinction sert surtout à lire la proposition que vous recevez. Une société qualifiée garde la faculté de réaliser des prestations non qualifiées, et ne peut alors pas se prévaloir de sa qualification. Pour obtenir une prestation conforme au référentiel, vérifiez donc que la convention de service l’indique explicitement. Et si la prestation qualifiée n’est pas ce que vous cherchez, l’ANSSI conseille de demander au prestataire un document identifiant l’ensemble des exigences du référentiel que sa prestation ne satisfait pas, pour connaître les risques auxquels vous vous exposez. Cette demande coûte un courriel, et elle vous dit avant signature ce que votre audit n’aura pas.

Le catalogue des prestataires qualifiés que l’ANSSI publie indique pour chacun les activités couvertes, la période de validité de la qualification, le niveau de qualification et le niveau de recommandation. Ce niveau de qualification se décline en deux paliers, substantiel ou élevé, et le choix vous revient : l’annexe 3 recommande le niveau élevé quand les risques que vous encourez sont eux-mêmes élevés, et le niveau substantiel dans les autres cas. Un dernier point s’y lit mal et compte : la qualification ne dit rien de la position de l’équipe par rapport à vous. Un organisme peut faire qualifier son propre service d’audit interne, et les exigences qui s’appliquent alors sont strictement identiques à celles d’un prestataire extérieur. Audit interne ou prestataire externe, la question ne se tranche donc pas sur le label.

L’indépendance qualifie une position, pas une compétence

L’audit se définit ici comme un « processus systématique, indépendant et documenté en vue d’obtenir des preuves d’audit et de les évaluer de manière objective pour déterminer dans quelle mesure les critères d’audit sont satisfaits ». Retenez le deuxième adjectif. Il ne qualifie pas la compétence de celui qui regarde, il qualifie sa position par rapport à ce qu’il regarde.

Deux exigences en découlent, et chacune se transforme en une question courte. Un prestataire doit apporter la preuve que son organisation, les moyens qu’il met en œuvre et les modalités de son fonctionnement, notamment financières, ne sont pas susceptibles de compromettre son impartialité envers celui qui commande l’audit. Demandez donc ce que sa société a à gagner selon la conclusion du rapport. Il doit par ailleurs, avant d’accepter, évaluer s’il est en mesure de réaliser pleinement, partiellement ou non ce que vous demandez, vous communiquer cette conclusion, et n’accepter que s’il peut mener la mission pleinement. Demandez cette conclusion par écrit, elle vous apprendra plus qu’un catalogue de compétences. Des références de prestations dont les objectifs, les critères, le périmètre et les activités sont proches des vôtres complètent utilement, et se vérifient mieux qu’une liste de logos.

Celui qui audite et celui qui corrige

L’annexe 3 pousse la séparation plus loin que l’usage. Quand un même périmètre appelle à la fois un prestataire d’audit qualifié et un prestataire d’accompagnement et de conseil qualifié, elle conseille de prendre deux sociétés distinctes, au nom d’une impartialité et d’une indépendance renforcées. Ce conseil vise nommément ces deux métiers qualifiés, et ne s’applique pas tel quel à une société qui n’est ni l’un ni l’autre. Le principe qu’il énonce, lui, vaut pour tout le monde.

Nous auditons, et nous menons ensuite les chantiers que l’audit désigne. Posez la question à chaque candidat placé dans cette position, nous compris, et vérifiez trois choses plutôt qu’une déclaration d’indépendance : comment le diagnostic est commandé et facturé, ce que le rapport écrit des corrections que le prestataire vous déconseille d’engager, et à qui appartient le document à la remise. Les deux dernières réponses se trouvent dans le rapport, dont il est question plus bas. La première se règle avant de laisser qui que ce soit chiffrer ce que vous engagerez ensuite sur l’outil existant.

Les trois documents écrits qui encadrent la mission

La mission repose sur des documents écrits, et trois suffisent à votre lecture. La convention de service, signée par un représentant légal de chaque société ou par toute personne pouvant l’engager, décrit de manière générale la démarche, les objectifs, les critères, le périmètre et les activités d’audit, puis les modalités : prérequis, jalons, livrables, dates et lieux. La note de cadrage précise ces mêmes éléments, et le responsable d’équipe du prestataire l’élabore en concertation avec son équipe et avec votre correspondant. Le plan d’audit descend au calendrier et à ses jalons, aux noms des auditeurs activité par activité, aux prérequis de chacune et à la méthode retenue. Le plan et la note de cadrage sont annexés au rapport final, ce qui vous donne de quoi vérifier après coup que la mission a suivi ce qui était écrit.

Pour un audit commandé hors de tout cadre réglementaire, ces trois documents tiennent le rôle du cahier des charges d’audit. L’ANSSI conseille d’ailleurs de s’appuyer, pour l’écrire, sur son guide d’achat de produits de sécurité et de services de confiance qualifiés. Ce qui ne figure dans aucun des trois devient discutable le jour de la remise, à commencer par ce que le prestataire n’a pas ouvert.

Le périmètre et la charge se fixent chez vous

Une note de bas de page, placée dès la première étape de la mission, est nette sur ce point : le choix des objectifs, des critères, du périmètre, des activités et des éventuelles modalités particulières revient in fine au commanditaire, le prestataire gardant, en sa qualité de professionnel, un devoir de conseil sur leur bien-fondé et leur cohérence. La charge de travail suit la même règle, formulée plus fermement encore. Le prestataire propose une charge adaptée, et celle qui est retenue relève exclusivement de vous. L’annexe 3 ajoute comment s’en servir, puisqu’elle veut un audit aussi complet que possible, vos contraintes de temps et de budget comprises dans le calcul.

Deux conséquences en sortent. Pour réduire la charge et donc le montant, le prestataire peut vous proposer un échantillonnage, c’est-à-dire examiner une partie choisie au lieu de tout passer en revue, et le plan d’audit doit alors justifier ce choix. Et lorsque la charge retenue ne correspond pas aux objectifs, aux critères, au périmètre et aux activités demandés, cette inadéquation figure parmi les réserves du rapport. Un budget raboté ne disparaît donc pas du livrable. Il y figure comme une limite écrite, que vous pourrez montrer à quiconque lira le rapport après vous.

Ce que le prestataire garde de vos données, et où il le garde

Deux clauses de la convention passent à la trappe dans la plupart des demandes. La première fixe les règles de titularité sur les éléments protégés par la propriété intellectuelle, c’est-à-dire qui détient quoi, et le rapport d’audit est nommé explicitement parmi les livrables concernés. La seconde règle la sortie : à l’issue de la mission, le prestataire restitue, supprime ou détruit les informations et supports, à l’exception de ceux pour lesquels vous avez donné un accord de conservation, et ce qu’il garde à ce titre doit l’être sur un système hors ligne.

Si le prestataire travaille sur une copie de votre base, cette copie existe quelque part dès le premier jour. La note de cadrage doit identifier, information par information, ce qui sera conservé, effacé, détruit ou restitué, et selon quelles modalités. Vous avez donc une ligne à remplir plutôt qu’une clause à subir.

Ce que le rapport doit contenir pour vous servir

Le contenu exigible d’un rapport est décrit en détail, et cette description se recopie dans une demande. Le rapport porte une synthèse managériale compréhensible par des personnes non expertes en sécurité informatique, qui donne une appréciation générale corrélant les résultats de toutes les activités menées, et décrit les risques critiques avec les scénarios de menace associés. Du côté des résultats, il identifie de manière unique chaque non-conformité, c’est-à-dire chaque écart à une règle posée comme critère, et chaque vulnérabilité. Il fournit pour chacune les preuves sur lesquelles le constat repose, et précise pour chaque vulnérabilité les profils d’attaquants, les scénarios d’attaque, les conditions d’exploitation, et si une tentative a été menée.

Viennent les deux échelles, l’une et l’autre à définir en cohérence avec les objectifs et les critères de l’audit. La première classe la gravité des constats en fonction des risques encourus. La seconde classe la priorité des mesures recommandées, et trois critères y figurent au minimum : la complexité, le coût et le délai de mise en œuvre. Une correction livrée sans ces trois données vous laisse sans moyen de la placer dans un budget.

Reste la partie que personne ne lit. Les réserves ne sont pas rangées en annexe : elles appartiennent à la synthèse managériale, donc à la tête du document, à côté de l’appréciation générale. Inadéquation entre la charge et le reste de la commande, limites de l’échantillonnage, difficultés rencontrées, indisponibilité de vos équipes, accès difficile aux locaux, au système d’information ou à la documentation, et la liste reste ouverte. Ces lignes délimitent ce sur quoi le rapport ne se prononce pas, et c’est par elles qu’il faut commencer.

Deux points de calendrier se négocient avant la mission. Lorsque plusieurs activités sont menées, un rapport unique ou un rapport par activité, c’est vous qui tranchez. Et dès la fin des travaux, sans attendre que le rapport soit achevé, le responsable d’équipe doit vous informer des constats et des premières conclusions, ce qui vous évite de découvrir une faille critique le jour de la remise.

Ce que l’annexe 3 vous conseille, avant, pendant et après

Les exigences ne pèsent pas sur le seul prestataire. L’annexe 3 énumère ce que le commanditaire a intérêt à tenir de son côté, et c’est la partie la plus directement utilisable du document, à condition de se rappeler qu’aucune de ces lignes n’est vérifiée au moment de qualifier un prestataire.

Désignez chez vous un correspondant de la prestation. L’annexe lui confie la note de cadrage, la relation avec le prestataire et la bonne exécution de la mission, et conseille que cette personne puisse engager la responsabilité de votre société et répondre rapidement aux demandes. Le calendrier de la mission tient à ce second point.

Pendant la mission, trois gestes sont conseillés de votre côté. Sauvegardez le système audité avant et pendant, en vous coordonnant avec le prestataire pour ne pas perturber son travail. Tenez-le informé de ce que vous faites vous-même sur ce système, administration, sauvegarde, restauration, parce que vos interventions déplacent ce qu’il observe. Et dès qu’il faut installer un outil ou lancer une commande sur le système audité, exécutez cette action vous-même, ou autorisez-la sur des comptes dédiés n’ayant que les droits strictement nécessaires, sous votre supervision constante.

Après la remise, la suite porte un nom, l’audit de contrôle, dont l’objet est d’établir un statut de la correction des non-conformités et des vulnérabilités identifiées. La synthèse managériale doit elle-même en recommander un. L’annexe 3 conseille de le faire mener en prestation qualifiée, et par le prestataire qui a mené l’audit initial, et c’est le cas dans lequel elle conseille de l’autoriser à conserver votre rapport. Cette autorisation s’écrit dans la note de cadrage, avant la mission, pas après.

Les lignes à écrire avant de donner le premier accès

Votre demande tient en une page, et elle se remplit dans cet ordre. Écrivez d’abord la décision que vous prendrez à la lecture du rapport, puis traduisez-la en activités nommées parmi les cinq, en précisant pour chacune ce qui entre dans le périmètre et ce qui en sort. Indiquez si vous voulez une prestation qualifiée et, dans ce cas, exigez que la convention le dise explicitement. Sinon, demandez la liste des exigences que la prestation ne satisfera pas.

Nommez ensuite votre correspondant, celui qui répondra dans la journée. Fixez le sort de vos données à la sortie, ligne par ligne, et ce que le prestataire conserve le cas échéant. Demandez le contenu du rapport en reprenant les termes du référentiel : les preuves par constat, l’échelle de gravité, l’échelle de priorité avec complexité, coût et délai, les réserves en tête de document. Faites chiffrer l’audit de contrôle dès cette demande.

Ce qui reste après cela, c’est le montant, et vous pouvez enfin le comparer. Deux propositions écrites contre la même page se lisent ligne contre ligne, ce qui était le problème de départ.

Quand la question porte sur l’outil entier, pas sur sa sécurité seule

Tout ce qui précède concerne la sécurité, parce que c’est la seule partie du mot audit qu’un document public définit. Votre question de départ porte fréquemment plus large : savoir si l’outil en place supportera ce que vous vous apprêtez à lui demander, et ce que chaque correction coûterait. Ce périmètre se commande à part, et c’est un diagnostic commandé et facturé seul, avant tout chantier qui ouvre les points portant votre décision. Il ne mesure ni une conformité ni un niveau de sécurité : il regarde ce qu’il vaut mieux garder, ce qu’il vaut mieux reprendre, et ce que chaque option coûterait, pour que le chantier qui suit se décide sur ces trois réponses plutôt que sur une impression. La performance de vos pages et votre référencement, déjà écartés du périmètre sécurité plus haut, restent hors de ce diagnostic-là aussi : les trois se commandent et se lisent séparément, même lorsque vous les faites mener la même semaine. Quand ce que vous contestez est la qualité de ce qui vous a été livré, séparer un résultat faux d’un code coûteux à modifier demande deux relevés distincts, et c’est un sujet entier.

Sources

Prestataires d’audit de la sécurité des systèmes d’information, référentiel d’exigences, version 2.2, ANSSI, 1er août 2024, chapitres I.1.2, I.3.2, II, III.1, IV.1, VI.1, VI.2, VI.3.2, VI.3.4, VI.5, VI.6 et VI.7, annexe 1 référence 21 et annexe 3, https://cyber.gouv.fr/documents/375/PASSI_Referentiel-exigences_v2.2.pdf

L’ANSSI met à jour les référentiels PASSI (version 2.2) et PRIS (version 3.0), ANSSI, 29 novembre 2024, https://cyber.gouv.fr/actualites/lanssi-met-à-jour-les-referentiels-passi-version-22-et-pris-version-30/