Si, en temps normal et depuis de nombreuses années, les systèmes informatiques de toutes les entreprises font l’objet de toutes les attentions, le contexte économique actuel fait peser de nouvelles menaces sur toutes les entreprises. Les médias français se font régulièrement l’écho d’attaques informatiques de plus en plus virulentes avec des conséquences parfois très lourdes. Le hacking est devenu une activité particulièrement lucrative avec, le plus souvent, un chantage financier à l’appui. Collectivités, grandes entreprises, PME et même les TPE sont soumises à ce type de cybermenaces pouvant avoir des conséquences de grande envergure.
Afin de limiter toutes formes de risques, les audits SI de l’ensemble de l’environnement informatique de l’entreprise sont indispensables afin d’identifier tous les points de vulnérabilité, de renforcer la sécurité, d’anticiper et de combler toutes les failles possibles. Mais quel est le rôle et quelles sont les spécificités de l’auditeur SI ?
Un audit SI multidirectionnel
Les auditeurs SI s’adaptent sans cesse tant aux nouvelles technologies qu’à l’écosystème informatique de leurs clients. Avec l’externalisation de certaines tâches mais également les mouvements de migrations vers différents clouds et plus spécifiquement les clouds hybrides, les auditeurs vont également prendre ces externalisations en compte dans leur travail d’inspection. La qualité de travail, les différents niveaux de formation, d’expertise et la sécurisation dans le transfert, la gestion et le stockage des données seront ainsi analysés avec précision afin d’être en adéquation avec les stratégies et normes de sécurité mises en place au sein même de l’entreprise. Cette première phase d’analyse de l’externalisation des données et des compétences des prestataires externes, ainsi que de l’ensemble de leurs matériels et des logiciels utilisés est indispensable. elle permet à l’auditeur de vérifier le degré de maîtrise et la visibilité des données.
Un rôle essentiel dans la transformation des SI
Nul ne peut ignorer que la crise COVID a considérablement rebattu les cartes des stratégies économiques des entreprises. Afin de mener à bien l’ensemble des transformations SI, les auditeurs SI jouent un rôle central dans ces transformations. Depuis le déploiement de nouvelles technologies et de logiciels toujours plus performants, les adaptations dues, notamment au télétravail ont amené les entreprises à réaliser des aménagements dans l’urgence. L’auditeur SI doit corriger les points sensibles et accompagner les structures dans la sécurisation de ce nouvel écosystème. C’est également durant cette période de transition qu’ont eu lieu de nombreux incidents mettant à mal la cybersécurité des réseaux. Depuis les plus petits incidents aux attaques de type Ransomware, il est du ressort de l’auditeur SI de remonter ces chaines et de les passer en revue afin de mettre en œuvre une nouvelle stratégie de cybersécurité renforcée.
Il effectuera ce travail grâce à son expertise tant en matière de langages informatiques tels que le VBA ou Python par exemple, ses capacités d’analyses de données en SQL, noSQL, mais aussi selon le cas en Alteryx, système Oracle, SAS, … Il passera également en revue l’ensemble de l’architecture des systèmes informatiques aussi bien en client-serveur, qu’en 3-tier ou bien les annuaires AD/ LDAP.
L’évolution et la conformité du RGPD
Les principaux incidents de sécurité et ransomware ont eu, et ont encore, pour but de diffuser sur le web les données personnelles les plus sensibles. L’auditeur SI doit s’assurer de la conformité du RGPD qui garantit aux utilisateurs du site web de l’entreprise son anonymat et le respect de sa vie privée. Pour ce faire, il devra s’assurer de la validité des lignes directrices qui régissent notamment la conformité des cookies, coockies qui comportent de nombreux chevaux de Troie et autres traceurs et sont donc susceptibles de porter atteinte à la vie privée des utilisateurs. L’auditeur veille aussi aux durées de conservation et aux conditions de conservation de ces données personnelles pour être en phase avec les règles éditées par le RGPD.
Analyse ou création d’un plan de secours informatique
Lorsqu’il existe déjà au sein de l’entreprise, le plan de secours SI doit également être audité afin de rester en phase avec la globalité de l’écosystème existant ou en cours de redéfinition. Ce plan de secours informatique doit être en adéquation avec les évolutions architecturales de l’ensemble du service IT et des nouveaux modes de fonctionnement tel que le télétravail et la multiplication du trafic de données.
Lorsque l’entreprise n’est pas doté de plan de secours informatique, il reviendra à l’auditeur qui notera cette carence de s’assurer de la création d’un tel plan de secours afin de ne pas pénaliser le développement de structure en cas de problème. Il établira ainsi toutes les recommandations nécessaires.
Accompagnement dans le déploiement de nouveaux dispositifs de sécurité
Parmi les principales missions de l’auditeur SI, les décideurs attendent également un accompagnement dans le déploiement des nouvelles procédures de sécurité des flux d’information, de sécurité des programmes et des actifs, des principaux contrôles clef de chacun de ces processus, y compris pour ce qui est de l’infogérance des cloud hybride.
Une fois l’ensemble des opérations réalisées, l’auditeur aura pour mission de rendre un rapport détaillé et accompagné de préconisations technologiques et de procédures
Des auditeurs SI, forces de propositions de solutions digitales adaptées
Une fois analysées, détaillées et validées, l’auditeur SI formera alors l’ensemble des intervenants IT aux nouvelles procédures à mettre en œuvre. Il sera le garant de la mise en œuvre des nouveaux plans d’action et nouvelles procédures visant à moderniser et à sécuriser l’ensemble du réseau SI de l’entreprise.
Au fur et à mesure du développement de l’entreprise, cette dernière doit avoir un déploiement de l’ensemble de son SI en phase avec ses ambitions. Pour ce faire et afin de parer aux attaques toujours plus sévères et toujours plus dangereuses des hackers, un audit SI est vivement recommandé au moins une fois par an.