Conformité en Cybersécurité

La conformité en cybersécurité signifie que les mesures de sécurité d'une organisation correspondent à un ensemble d'exigences externes et qu'elle peut le montrer quand on le lui demande. Ces exigences peuvent venir d'une loi, d'une réglementation sectorielle, d'un contrat client ou d'une norme publiée. La question est toujours la même : l'organisation fait-elle ce que la règle demande, et peut-elle le prouver ?

Le sujet est étroitement lié à la protection des données, car la plupart des règles visent à protéger des informations personnelles, financières ou de santé. C'est aussi une tâche de gouvernance : les obligations doivent être suivies, attribuées et revues, ce dont s'occupe la gestion de la conformité.

Le mot le plus important est preuve. Un contrôle qui fonctionne mais ne laisse aucune trace se défend mal lors d'un audit, et une politique que personne ne suit est un risque, pas une protection.

Peu d'organisations répondent à un seul référentiel. Les sources diffèrent par ceux qui les font appliquer et par ce qui arrive en cas de manquement, d'où l'intérêt de les classer d'abord par origine. Beaucoup de programmes s'organisent autour d'un cadre de management comme un SMSI, et les clients demandent souvent un rapport indépendant tel que SOC 2.

Quel que soit le référentiel, le travail suit un cycle. Il ne s'arrête pas à un certificat ou à un audit réussi, car les exigences, les systèmes et les menaces évoluent sans cesse. Le cycle se répète grâce à la surveillance de la conformité.

1. 1

   Délimiter le périmètre

   Listez les lois, normes et contrats applicables, ainsi que les systèmes et les données qu'ils couvrent.

2. 2

   Relier exigences et contrôles

   Transformez chaque exigence en contrôle concret avec un responsable désigné, par exemple la revue des accès ou la conservation des journaux.

3. 3

   Mettre en œuvre et documenter

   Déployez les contrôles et rédigez des politiques et des procédures que les équipes peuvent suivre.

4. 4

   Rassembler les preuves

   Conservez les journaux, rapports et enregistrements qui montrent chaque contrôle en fonctionnement dans la durée.

5. 5

   Revoir et améliorer

   Testez les contrôles, comblez les écarts et recommencez le cycle quand les règles ou les systèmes changent.

Les preuves viennent en général des outils qui observent les données et les utilisateurs. Dans la console Anexet, les règles de sécurité consignent des incidents avec un niveau de risque, les rapports d'incidents se construisent par règle et s'envoient selon un calendrier, et les rapports de sécurité donnent aux vérificateurs un historique exploitable plutôt que des captures d'écran réunies la semaine avant l'audit.

1 / 3

• 
• 
• 

La conformité échoue le plus souvent aux passages de relais, pas dans la technique. Une courte carte des responsabilités relie chaque exigence à quelqu'un qui peut agir.

Réussir un audit montre que les contrôles exigés existaient et fonctionnaient au moment du test. Cela ne prouve pas que l'organisation est à l'abri d'une intrusion. Les règles fixent un socle, et les attaquants ne lisent pas ce socle : une entreprise conforme peut donc quand même subir une violation de données.

L'inverse est vrai aussi : une sécurité solide mais non documentée peut échouer à un audit. L'objectif pratique est de traiter les règles comme un plancher et de bâtir la sécurité au-dessus, en s'aidant du risque de non-conformité pour savoir où les écarts coûteraient le plus.

La plupart des programmes butent sur les mêmes points :

• Traiter la conformité comme un projet annuel plutôt que comme un processus continu
• Ne rassembler les preuves que dans les semaines précédant l'audit
• Acheter un outil et supposer qu'il rend l'organisation conforme
• Rédiger des politiques que personne n'a lues ou ne peut suivre
• Ignorer les tiers, alors que leur accès à vos données reste votre responsabilité

Commencez petit et concret. Notez les règles qui vous concernent, choisissez les données dont l'exposition ferait le plus de mal et vérifiez que les contrôles de base sur ces données existent et laissent une trace. Élargissez ensuite, au lieu de bâtir un cadre que personne n'utilise.