Objectif 17 · Pilier Gouvernance · Entités essentielles

Audit de la sécurité des systèmes d'information

Réaliser ou faire réaliser des audits de sécurité réguliers et planifiés pour vérifier l'atteinte des objectifs et évaluer le niveau de sécurité.

Mesures pour une EINon applicable

Mesures pour une EE5

Directive NIS 2Art. 21.2.f

Pourquoi c'est important

Un regard indépendant révèle les écarts qu'une auto-évaluation ne voit pas.

Ce que couvre la directive

Art. 21.2.f · Évaluation de l'efficacité des mesures

Raccourci reconnu par l'ANSSI : Le recours à un prestataire d'audit qualifié PASSI par l'ANSSI, incluant le suivi des mesures correctives, peut être présenté pour démontrer cet objectif.

Les 5 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

17.1-EERSSIPriorité élevéeEE uniquement

Avez-vous un programme d'audit de vos SI, adapté aux risques, à leur criticité et à leur exposition ?

Action si absent: Établir un programme d'audit pluriannuel.
Preuve attendue: Programme d'audit

17.2-EERSSIPriorité élevéeEE uniquement

Vos audits sont-ils indépendants et vérifient-ils la conformité et le niveau de sécurité face aux menaces connues ?

Action si absent: Faire appel à un auditeur indépendant, idéalement qualifié PASSI.
Preuve attendue: Lettres de mission d'audit

17.3-EERSSIPriorité élevéeEE uniquement

Chaque audit comprend-il au moins un test d'intrusion, un audit de configuration, d'architecture, organisationnel et physique, ou de code ?

Action si absent: Inclure au moins un test d'intrusion des interfaces exposées.
Preuve attendue: Rapports d'audit

17.4-EERSSIPriorité moyenneEE uniquement

Le rapport d'audit présente-t-il une synthèse, les non-conformités, les vulnérabilités et les recommandations ?

Action si absent: Exiger ce contenu minimal dans les rapports d'audit.
Preuve attendue: Rapports d'audit

17.5-EERSSIPriorité élevéeEE uniquement

Avez-vous un plan d'action pour corriger les constats d'audit, avec une échéance et un responsable par action ?

Action si absent: Intégrer les constats d'audit au plan d'action.
Preuve attendue: Plan de remédiation