« Nous avons une politique de cybersécurité. » C’est un bon début. Mais dans une démarche de conformité, une deuxième question arrive immédiatement : pouvez-vous démontrer qu’elle est réellement appliquée? C’est ici que les preuves deviennent essentielles.
Une évaluation ne sert pas uniquement à vérifier ce que l’organisation affirme vouloir faire. Elle cherche également à déterminer ce qui se passe réellement dans les systèmes et dans les opérations.
Une politique n’est pas une preuve suffisante
Prenons l’exemple de la gestion des comptes. La procédure de l’entreprise indique peut-être que l’accès d’un employé doit être supprimé lorsqu’il quitte l’organisation. L’évaluateur peut alors examiner la procédure, mais également demander une liste des comptes actifs, des exemples récents de comptes désactivés et les traces montrant que le processus a réellement fonctionné.
La même logique s’applique à de nombreux domaines. Si l’entreprise affirme effectuer des sauvegardes, elle peut devoir présenter des journaux de sauvegarde et des résultats de tests. Si elle affirme réviser les permissions, elle doit pouvoir démontrer que ces révisions ont eu lieu. Si elle affirme traiter les incidents, les billets, rapports et mesures correctives deviennent des éléments précieux.
Examiner, interviewer et tester
Dans son document d’évaluation ITSP.10.171-01, le Centre canadien pour la cybersécurité décrit trois grandes méthodes utilisées pour évaluer les mesures : l’examen, l’entrevue et le test.
L’examen porte sur les documents et les mécanismes : politiques, procédures, plans, configurations, listes d’accès, journaux, rapports, architecture et autres enregistrements. L’entrevue permet de vérifier si les personnes responsables comprennent réellement les processus. Le test sert à déterminer si le mécanisme fonctionne comme prévu.
Une procédure parfaitement rédigée mais inconnue des employés montre une faiblesse. Un logiciel très performant mais mal configuré en montre une autre.
Les journaux : une catégorie de preuve incontournable
Les journaux jouent un rôle central parce qu’ils permettent de reconstituer les événements. La norme prévoit notamment que les enregistrements pertinents puissent indiquer ce qui s’est produit, à quel moment, où, avec quelle source, quel résultat et quelle identité associée.
Les journaux doivent également être protégés contre les modifications ou suppressions non autorisées. Encore une fois, accumuler des gigaoctets de logs ne suffit pas.
L’entreprise doit déterminer ce qu’elle veut enregistrer, combien de temps conserver les données et comment les événements importants seront examinés.
Les approbations et les historiques opérationnels
Les preuves ne sont pas seulement produites par l’équipe de sécurité.
Un système de gestion peut également montrer qu’une commande a été approuvée par le bon responsable, qu’un utilisateur disposait du bon rôle, qu’un document a été modifié ou qu’une demande a franchi différentes étapes de validation.
C’est ici qu’un ERP traçable peut devenir particulièrement utile.
Au lieu de chercher des confirmations dans des chaînes de courriels, certaines étapes du processus peuvent être enregistrées directement dans l’outil utilisé pour effectuer le travail.
Les revues périodiques
La conformité n’est pas un événement annuel. Certaines preuves les plus fortes sont justement celles qui montrent une activité répétée : révision périodique des comptes, contrôle des privilèges, examen des journaux, suivi des vulnérabilités ou vérification des sauvegardes.
Un calendrier de contrôles permet d’éviter que ces tâches soient oubliées.
Il facilite également l’évaluation, puisque les preuves sont créées progressivement plutôt que reconstruites dans l’urgence.
Cette logique rappelle l’expérience de TechNuCom avec SOC 2 Type 2 : ce qui donne de la valeur à une démarche de conformité n’est pas uniquement l’existence d’un contrôle, mais sa capacité à fonctionner et à être démontré dans la durée.
Organiser les preuves avant d’en avoir besoin
Une PME peut simplifier énormément son travail en associant chaque contrôle à quelques éléments très simples : un responsable, la preuve attendue, la fréquence, l’emplacement où elle sera conservée et la procédure applicable.
De cette manière, l’organisation ne commence pas sa préparation à l’évaluation quelques semaines avant l’échéance. Elle transforme son fonctionnement quotidien en source de preuves. Et c’est probablement la différence la plus importante entre « avoir de bonnes pratiques » et être réellement prêt à les démontrer.