Audit Organisationnel et Physique

L'audit organisationnel et physique permet d'analyser les politiques et les procédures mises en place par votre organisation dans le but de vérifier leur conformité par rapport, soit au contrainte réglementaire de votre marché soit aux exigences de sécurité de votre organisation.

L'audit organisationnel & physique permet, en pratique, de mettre en évidence les forces mais surtout les faiblesses et vulnérabilités du système d’information de l'organisation.

Ils confirment l'atteinte d'un niveau acceptable des risques résiduels, et peuvent également s'inscrire dans une démarche d'homologation.

Les mesures de sécurité devant être mises en place pour sécuriser le système d'information sont décidées à l'issue d'une analyse de risques préalable (selon la méthodologie EBIOS RM par exemple) et peuvent être de différentes natures : organisationnelles, physiques et techniques.

L’approche SCASSI est toujours une approche par le risque dans le contexte du client. L'audit est un excellent moyen d'évaluation, adapté à de multiples situations.

L'audit organisationnel & physique se caractérise notamment par un audit sur site afin de vérifier les procédures et leur bonne application.

Les équipes de SCASSI peuvent aussi procéder à des tests d’intrusion physique afin de simuler une intrusion malveillante en conditions réelles.

Si vous avez besoin d'un audit qualifié PASSI / PASSI LPM

SCASSI est qualifié PASSI- RGS et PASSI-LPM sur la portée Audit organisationnel & Physique

La qualification des prestataires d’audit de la sécurité PASSI fait partie du règlement général de sécurité (RGS) de l’Agence Nationale de Sécurité des Systèmes d’Information (ANSSI).

La qualification atteste du respect par le prestataire :

• des aspects contractuels, de la législation et de la réglementation et de l’impartialité

• de la protection de l’information (au niveau Diffusion Restreinte)

• des exigences de qualité et de sécurité de ses process d’audit

• de la compétence de ses auditeurs pour les activités qualifiées

Une prestation d’audit non qualifiée peut potentiellement exposer le commanditaire à certains risques comme par exemple la fuite d’informations confidentielles, la compromission, la perte ou l’indisponibilité de son système d’information, sans présager des risques liés au non-respect de la règlementation en vigueur.

La méthodologie globale se déroule en 3 phases:

1. Cadrage et préparation (pour s’accorder ensemble sur le périmètre, les limites et les exclusions de l’audit et identifier les procédures d’audit applicables)

2. Réalisation de l'audit (réalisation des activités d’audit, conformément aux besoins exprimés propres à chaque portée, et dans le respect des bonnes pratiques. Restitution à chaud)

3. Restitution et clôture (finaliser l’audit et assurer une restitution aux parties intéressées incluant le rapport technique détaillé, un document de synthèse et les recommandations / plan d'actions)

Lors de l'audit, les points suivants peuvent être abordés :

• sur la partie organisationnelle :

• Politiques et procédures de sécurité

• Organisation de la sécurité

• RH :

• Charte informatique

• Sensibilisation et formation du personnel

• Moyens de contrôle d’accès logique

• Sauvegarde et restauration

• Mises à jour, maintien en conditions de sécurité (MCS)

• Administration, surveillance / supervision et exploitation

• Gestion des incidents

• Continuité d'activité

• Indicateurs et tableau de bord

• Amélioration continue

• sur la sécurité physique et environnementale :

• Contrôle d'accès physique, détection d'intrusion, vidéosurveillance (CADIVS) : barrières périmétriques, badges, clés, alarmes, caméras etc…

• Système de détection et d’extinction d’incidents environnementaux : incendie, inondations, secours énergétiques…

• Facility management, contrats de sous-traitances, gardiennage

Les livrables types de ces prestations d'audit sont:

• Le rapport d'audit (au format PASSI ou au format standard) contenant les rubriques du périmètre audité (Audit, d'architecture, Audit de configuration, Audit organisationnel et de sécurité physique, Tests d'intrusion, Audit de code source,...)

• Une restitution en commission

• Un plan de recommandations / actions