Ce que montre une bonne preuve
Une preuve démontre qu’une mesure n’est pas seulement décidée, mais appliquée. Une politique seule y suffit rarement. Elle montre ce qui doit s’appliquer. L’auditeur veut en plus constater que cela a bien été fait : le document signé, la capture d’écran d’un paramétrage, le procès-verbal d’une formation, l’extrait du système de tickets, le procès-verbal de contrôle avec date et responsable.
Les bonnes preuves ont plusieurs caractéristiques en commun. Elles sont datées, pour qu’on sache à quel moment la situation existait. Elles permettent d’identifier le responsable. Et elles correspondent à l’affirmation qu’elles doivent étayer. Si votre réponse dans l’évaluation décrit une revue des accès trimestrielle, l’auditeur attend plusieurs procès-verbaux, pas un seul.
Faites aussi attention au volume. Un export de plusieurs centaines d’entrées est difficile à contrôler. Mieux vaut un extrait qui montre la partie pertinente, complété par une brève explication de la manière dont il a été obtenu. Dans Sightadel, vous saisissez cette explication comme description directement sur la preuve. Caviardez avant le téléversement les données personnelles qui ne sont pas nécessaires à la preuve.
Une bibliothèque ordonnée : type, responsabilité, validité
Une bibliothèque ne reste utilisable que si chaque preuve est correctement décrite lors du téléversement. Attribuez un type, une personne responsable et une date de validité. Le type facilite le filtrage, la responsabilité précise qui agit à l’expiration, et la date déclenche le rappel.
La date de validité dépend du rythme de la mesure. Se sont imposés dans la pratique : des revues annuelles pour les politiques, les formations, les exercices de crise et les évaluations des fournisseurs, des revues des accès trimestrielles et des audits internes répartis chaque année sur l’ensemble du périmètre. Fixez la date un peu avant l’échéance réelle, afin de garder du temps pour la préparation.
Le statut indique sur quoi vous pouvez compter. Les nouvelles preuves sont en revue jusqu’à ce que quelqu’un en ait confirmé le contenu. Ce n’est qu’alors qu’elles sont vérifiées. Les preuves expirées restent visibles, pour que l’écart ne disparaisse pas.
Lorsqu’une preuve expire, téléversez une nouvelle version au lieu de créer une nouvelle entrée. Tous les liens vers les contrôles et les plans d’action sont ainsi conservés, et l’historique montre l’évolution au fil des années.
Prouver une fois, utiliser plusieurs fois
De nombreux frameworks exigent des choses similaires. Une politique de sécurité de l’information, un concept de formation, un plan d’urgence ou une évaluation des fournisseurs apparaissent sous différentes formes dans l’ISO 27001, NIS2, DORA, le C5 du BSI et SOC 2. Qui classe une copie distincte pour chaque framework gère vite plusieurs versions qui divergent.
Dans Sightadel, vous liez une preuve à tous les contrôles qu’elle étaye, y compris d’un framework à l’autre. Elle n’est modifiée qu’à un seul endroit. Si un nouveau framework s’ajoute, vous passez en revue les preuves existantes et les liez à nouveau, au lieu de repartir de zéro.
Vérifiez alors précisément que la preuve couvre réellement l’exigence concernée. Des exigences similaires ne sont pas toujours identiques. Un plan d’urgence suffisant pour l’ISO 27001 peut être trop général pour DORA, qui pose des attentes plus poussées en matière de tests et de scénarios. Vous complétez alors le plan ou liez une preuve supplémentaire.
La couverture affichée au-dessus de la bibliothèque indique quelle part des exigences actives est déjà étayée et où des preuves manquent. C’est le moyen le plus rapide de trouver les écarts avant un audit.
Ce que l’auditeur fait de vos preuves
Lors de la première étape de l’audit, l’auditeur examine surtout la documentation. Lors de la seconde, il procède par échantillonnage. Il choisit un contrôle, lit votre réponse et demande à voir la preuve. Si elle convient, il passe à la suite. Sinon, il pose des questions, et une question peut devenir un constat.
Les motifs typiques de constats sont des preuves expirées, des dates manquantes, des preuves qui ne correspondent pas à l’affirmation et des lacunes dans la période couverte. Qui décrit une vérification mensuelle des sauvegardes mais ne présente des procès-verbaux que pour deux mois a un problème, même si les vérifications ont réellement eu lieu.
Dans Sightadel, l’auditeur reçoit son propre rôle. Il voit les preuves avec version, statut, validité et liens, commente et, après votre validation, crée ou modifie des entrées. Il ne peut jamais rien supprimer. Cela évite l’export dans des arborescences de dossiers et l’envoi de fichiers volumineux. En même temps, l’historique d’activité montre quand une preuve a été téléversée. Les preuves créées la veille de l’audit se remarquent ainsi tout autant que les enregistrements constitués au fil de l’année.
