Audit d’architecture et de configuration IT
Comprendre les expositions et les écarts de configuration du système d’information.
Une prestation adaptée à votre infrastructure
L’audit IT examine les réseaux, les serveurs, les annuaires et les accès avec la documentation et les droits convenus. Il recherche les faiblesses de conception et de durcissement, puis les relie aux usages du système d’information. L’analyse documentée peut être complétée par des vérifications techniques et un pentest ciblé.
Architecture et segmentation
Examiner les zones, les flux et les interconnexions. Identifier les passages entre usages, administration, services exposés et ressources internes.
Serveurs et équipements
Revoir les versions, les services actifs, les configurations et les possibilités de maintien en condition de sécurité.
Identités et administration
Étudier les comptes, les privilèges, les accès distants et les relations de confiance, notamment dans un environnement Active Directory.
Résilience et traçabilité
Examiner les sauvegardes, les procédures, la journalisation et les éléments disponibles pour détecter et traiter un incident.
Comment se déroule la mission ?
Partager la documentation
Définir les sites, les composants et les accès. Réunir les schémas, les configurations, les procédures et les interlocuteurs.
Confronter les protections aux usages
Réaliser les entretiens et les contrôles techniques. Identifier les écarts entre les règles attendues et les configurations observées.
Restituer et prioriser
Expliquer les risques, proposer les corrections et distinguer les actions rapides des évolutions d’architecture.
Ce que vous obtenez
- Cartographie des composants et des contrôles réalisés.
- Rapport d’audit avec observations, risques et recommandations.
- Plan de remédiation et propositions de vérification après correction.
Des constats utilisables par vos équipes
Observation et preuves
Comprendre ce qui a été observé, les accès utilisés et les limites du contrôle.
Impact et priorité
Relier le constat à ses conséquences dans le contexte du système étudié.
Correction et vérification
Proposer une mesure adaptée et les conditions permettant d’en vérifier l’effet.
Vos questions sur cette prestation
Quelle différence avec un scan de vulnérabilités ?
Le scan aide à détecter certaines expositions. L’audit interprète aussi l’architecture, les droits, les configurations et les procédures avec vos équipes.
L’audit exige-t-il des comptes administrateurs ?
Les droits nécessaires dépendent des contrôles convenus. Les accès accordés, leur durée et les limites de l’analyse sont fixés au cadrage.
Un audit IT couvre-t-il les applications métier ?
Les dépendances et les configurations peuvent être examinées. Une revue de code ou des tests applicatifs approfondis relèvent d’un périmètre Web et API complémentaire.
Les cadres de conformité à examiner
NIS 2 concerne les organisations entrant dans son champ, tandis qu’ISO/IEC 27001 structure un système de management. Ces cadres peuvent également couvrir les activités OT ou Web de l’organisation ; ils ne sont pas réservés à l’informatique bureautique.
Directive NIS 2
Organisations concernées : relier gouvernance, gestion des risques et mesures de sécurité. Le RéCyF fournit des repères de préparation.
Comprendre ce cadreISO/IEC 27001
Management de la sécurité de l’information : structurer le périmètre du SMSI, les risques, les responsabilités et les preuves de suivi.
Comprendre ce cadreLes autres prestations IT
Parlons de votre périmètre
Définissons les systèmes concernés, les objectifs et les conditions de la mission.
Parler de votre périmètre