Audit de sécurité informatique : du ponctuel au continu

L'audit de sécurité annuel est une fiction confortable. Vous passez 2 semaines à préparer, le prestataire teste pendant 5 jours, vous recevez un rapport de 80 pages, vous corrigez les findings critiques en urgence, et 11 mois plus tard vous recommencez. Pendant ces 11 mois, votre infrastructure a changé 400 fois (déploiements, nouvelles VM, changements de config, nouveaux SaaS). L'audit ponctuel est une photo d'un train en marche.

Les 3 types d'audit de sécurité

Audit technique

L'audit technique évalue la sécurité de votre infrastructure et de vos applications. Il comprend :

• Scan de vulnérabilités : identification automatisée des CVE sur vos systèmes (Nessus, OpenVAS, Qualys). Rapide, exhaustif, mais pas de contexte d'exploitation.

• Pentest (test d'intrusion) : un testeur humain simule une attaque réelle. Créatif, contextuel, mais ponctuel et coûteux (5 000 à 30 000 € selon le périmètre). Pentest vs scan : que choisir ?

• Audit de configuration : vérification des hardening guidelines (CIS Benchmarks, DISA STIG). Souvent automatisable.

• Audit de code : revue statique (SAST) et dynamique (DAST) des applications. OWASP ZAP, SonarQube, Semgrep.

Audit organisationnel

L'audit organisationnel évalue les processus, les politiques et la gouvernance :

• Politique de sécurité des SI (PSSI) et son application effective

• Gestion des accès et des identités (IAM) : comptes orphelins, droits excessifs, MFA

• Plan de continuité d'activité (PCA/PRA) : existe-t-il ? Est-il testé ?

• Sensibilisation des utilisateurs : campagnes de phishing simulé, taux de clic

• Gestion des prestataires et de la supply chain

Audit de conformité

L'audit de conformité vérifie l'adéquation avec les référentiels applicables :

• NIS2 : les 10 mesures de l'Art.21

• RGPD : Art.32 (sécurité du traitement), Art.33 (notification), Art.35 (AIPD)

• ISO 27001 : 93 contrôles de l'Annexe A (version 2022)

• PCI DSS 4.0 : pour les organisations traitant des données carte

• HDS : pour les hébergeurs de données de santé en France

Le problème de l'audit ponctuel

Voici pourquoi l'audit annuel est insuffisant :

• MTTR des vulnérabilités : le temps médian de correction d'une vuln critique est de 60 jours (Mandiant 2024). Si votre audit est annuel, vous ne savez même pas qu'une nouvelle CVE critique affecte votre stack pendant 11 mois.

• Drift de configuration : un changement de config en production qui casse un contrôle de sécurité est invisible jusqu'au prochain audit.

• Shadow IT : les nouveaux SaaS, les instances cloud non déclarées, les containers Docker qui prolifèrent entre deux audits.

• Vitesse des attaquants : une CVE critique est exploitée en moyenne 15 jours après sa publication (Mandiant 2024). Votre prochain audit est dans 8 mois.

L'audit continu : le nouveau standard

L'audit continu ne remplace pas l'audit ponctuel, il le complète en comblant les 11 mois de vide. Le principe :

• Scan de vulnérabilités : quotidien ou hebdomadaire, automatisé, avec priorisation par EPSS (pas seulement CVSS)

• Audit de configuration : vérification continue des CIS Benchmarks, alerting en temps réel sur les dérives

• Audit de containers : scan des images Docker à chaque build et en runtime (Trivy, Grype)

• Audit web : scan DAST régulier des applications exposées (OWASP ZAP, Nuclei)

• Audit de conformité : mapping continu des contrôles avec les référentiels applicables

Les 57 skills ThreatClaw qui automatisent l'audit

ThreatClaw intègre 57 skills spécialisés qui couvrent l'audit continu de bout en bout :

• Infrastructure : Lynis (hardening Linux), CIS Benchmarks, audit SSH, audit des permissions fichiers

• Vulnérabilités : Nmap (discovery + vuln scripts), scoring EPSS/CVSS, corrélation avec les exploits connus

• Containers : Trivy (images + filesystem), Grype (SCA), Docker Bench for Security, Syft (SBOM)

• Web : OWASP ZAP (DAST), Nuclei (templates communautaires), headers de sécurité, TLS audit

• Cloud : audit des IAM policies, S3 buckets publics, security groups permissifs

• Conformité : mapping automatique des findings vers NIS2, RGPD, ISO 27001

Chaque skill tourne selon un planning configurable (horaire, quotidien, hebdomadaire). Les résultats sont corrélés, priorisés et présentés dans un tableau de bord unifié. Le RSSI reçoit un rapport hebdomadaire synthétique, pas 49 rapports séparés.

Le modèle hybride recommandé

Voici l'approche que je recommande :

• Continu : ThreatClaw pour le scan de vulnérabilités, l'audit de configuration, le monitoring de conformité. C'est la couverture quotidienne.

• Trimestriel : revue des résultats avec le RSSI (interne ou externalisé), mise à jour de l'analyse de risques, ajustement des priorités.

• Annuel : pentest par un prestataire externe pour tester la créativité humaine et valider les défenses. L'audit continu enrichit le périmètre du pentest en identifiant les zones à risque.

Par où commencer

Si vous n'avez jamais fait d'audit, commencez par l'essentiel :

• Semaine 1 : inventaire des actifs exposés (Nmap), scan de vulnérabilités initial

• Semaine 2 : audit de configuration des serveurs critiques (Lynis/CIS), audit des containers si applicable (Trivy)

• Semaine 3 : scan DAST des applications web exposées (OWASP ZAP)

• Semaine 4 : synthèse, priorisation, plan de remédiation

ThreatClaw exécute ces 4 étapes automatiquement dès le déploiement. Le premier rapport complet est disponible en 48h.

FAQ

Quelle est la différence entre un audit et un pentest ?

L'audit évalue la posture de sécurité de manière exhaustive (configurations, vulnérabilités, processus, conformité). Le pentest simule une attaque réelle pour tester les défenses en conditions opérationnelles. L'audit dit "voici vos failles". Le pentest dit "voici ce qu'un attaquant peut en faire". Les deux sont complémentaires.

L'audit continu remplace-t-il l'audit annuel ?

Non. L'audit continu couvre les aspects automatisables (vulnérabilités, configurations, conformité technique). L'audit annuel apporte la dimension humaine (pentest créatif, revue organisationnelle, entretiens avec les équipes). L'audit continu rend l'audit annuel plus efficace en éliminant les "quick wins" avant l'arrivée de l'auditeur.

Combien coûte un programme d'audit continu ?

Avec des outils open source seuls (Lynis, Trivy, OWASP ZAP, Nmap), le coût est le temps d'administration : 20-40h/mois pour un ingénieur sécurité. Avec ThreatClaw, l'orchestration est automatisée et le temps tombe à 2-4h/mois de revue des résultats. Consultez les tarifs.

Mon hébergeur est certifié ISO 27001. Ai-je besoin d'auditer mon infrastructure ?

Absolument. La certification de l'hébergeur couvre l'infrastructure physique et une partie de la gestion. Votre responsabilité couvre tout ce que vous déployez dessus : OS, applications, configurations, données, accès. C'est le modèle de responsabilité partagée. L'hébergeur sécurise le datacenter ; vous sécurisez ce que vous y mettez.