Le déroulement d’une évaluation en pratique
Une évaluation commence par l’activation d’un framework. Sightadel crée alors tous les contrôles sous forme de questions, organisées selon les thèmes de la norme. Avant que quelqu’un ne réponde à la première question, une courte planification est utile : qui est responsable de l’évaluation, pour quand doit-elle être terminée, et qui fournit des réponses pour quels chapitres ? Vous saisissez la personne responsable et la date d’échéance directement dans l’évaluation, afin qu’elles soient visibles pour tous les participants.
Il s’est avéré efficace de procéder chapitre par chapitre plutôt que de parcourir la norme en tous sens. Commencez par les thèmes qui forment les fondations, comme les politiques, les rôles et les responsabilités. De nombreux contrôles ultérieurs s’appuient sur eux. Les chapitres techniques comme le contrôle d’accès, l’exploitation ou les fournisseurs sont traités par les personnes qui les connaissent. Grâce aux rôles, collègues et consultants travaillent dans la même évaluation.
Vous n’avez pas à tout faire d’une traite. L’état intermédiaire est enregistré, et un bouton mène à tout moment au premier contrôle sans réponse. Pour un framework volumineux comme ISO 27001, comptez plutôt des semaines que des jours, car de nombreuses questions demandent une décision ou un échange en interne. L’évaluation ne peut être soumise qu’une fois toutes les questions de contrôle traitées.
De bonnes réponses : concrètes, justifiées, honnêtes
Une réponse dans l’évaluation est une affirmation sur votre organisation que quelqu’un vérifiera plus tard. Elle doit donc décrire ce qui est réellement pratiqué, et non ce qui est prévu ou souhaité. Choisissez les options de réponse qui s’appliquent et utilisez le champ de commentaire pour le contexte : de quel processus il s’agit, qui en est responsable, depuis quand il s’applique.
À chaque réponse correspond une preuve. Il peut s’agir d’une politique, d’un procès-verbal, d’une capture d’écran d’un paramétrage ou d’un extrait d’un système de tickets. Associez la preuve directement au contrôle depuis la bibliothèque de preuves. Si elle existe déjà pour un autre framework, associez-la à nouveau au lieu d’en téléverser une copie.
« Aucune » est une réponse admise. Elle révèle un écart, et un écart devient un plan d’action avec un responsable et une échéance. En audit, c’est nettement préférable à une réponse embellie sans justificatif. Pour « N/A », la règle est : ne l’utiliser que si le contrôle ne s’applique vraiment pas à vous, et toujours le justifier dans le commentaire. Une entreprise sans développement logiciel propre peut par exemple exclure les contrôles relatifs au développement sécurisé, mais doit expliquer comment elle gère les logiciels achetés.
Ce à quoi les auditeurs sont attentifs
Un audit de certification se déroule en deux étapes. Lors de la première, l’auditeur examine la documentation : le système de management est-il décrit, le périmètre, les rôles et la déclaration d’applicabilité sont-ils présents ? Lors de la seconde, il vérifie que ce qui est décrit est réellement appliqué. Il s’entretient avec les collaborateurs, consulte des enregistrements et procède par échantillonnage.
Pour l’évaluation, cela signifie que l’auditeur ne lit pas vos réponses comme une auto-déclaration, mais comme un point de départ pour ses questions. Il choisit un contrôle et veut voir le justificatif, puis un deuxième. Plus la réponse, le commentaire et la preuve concordent, plus ces échanges sont courts.
Soyez particulièrement attentif à trois points. Premièrement, l’actualité : une preuve vieille de trois ans ne démontre pas une situation actuelle. Deuxièmement, les justifications des exclusions. Troisièmement, les contradictions, par exemple lorsqu’une réponse décrit un processus mensuel alors que la preuve ne montre qu’une seule date. Dans Sightadel, l’auditeur dispose d’un rôle propre. Il voit les réponses et les preuves dans leur contexte, commente et, après votre validation, crée ou modifie des entrées. Il ne peut jamais rien supprimer.
Les pièges courants
Le piège le plus fréquent consiste à traiter l’évaluation comme un formulaire à remplir le plus vite possible. Qui choisit partout la meilleure option obtient au final un bon résultat à l’écran et un problème en audit. La valeur de l’évaluation réside dans la détection précoce des écarts, tant qu’il reste du temps pour agir.
Un deuxième piège est l’absence de responsabilité. Une évaluation qui appartient à tout le monde n’est traitée par personne. Désignez une personne responsable, fixez une date d’échéance réaliste et répartissez les chapitres techniques entre les personnes qui s’y connaissent.
Troisièmement, le périmètre est souvent clarifié trop tard. L’inclusion ou non d’un site, d’une filiale ou d’un service donné modifie les réponses à de nombreux contrôles. Clarifiez ce point avant de commencer, au besoin avec un conseil.
Enfin, une évaluation soumise est un instantané. Les mesures changent, les preuves expirent, les personnes changent de poste. Planifiez donc l’évaluation comme une tâche récurrente, par exemple chaque année avant l’audit interne, et maintenez les preuves à jour grâce à leurs dates de validité.
