Test de sécurité informatique et d'intrusion

Les données d'audit de sécurité informatique comprennent des rapports de tests d'intrusion, des résultats d'analyse de vulnérabilité, des résultats d'audit de sécurité des informations et des enregistrements d'incidents de sécurité qui démontrent la posture de cybersécurité d'une organisation. Les tests d'intrusion simulent des attaques réelles pour identifier les vulnérabilités exploitables. Les analyses de vulnérabilité fournissent une identification automatisée des vulnérabilités connues dans les systèmes et les logiciels. Les rapports d'audit ISO 27001 fournissent une évaluation indépendante des systèmes de gestion de la sécurité de l'information. La réponse aux incidents enregistre les événements liés à la sécurité des actifs et la capacité de réponse de l'organisation. Ces preuves sont requises par la loi européenne sur la cyber-résilience, le DORA, l'article 32 du RGPD et les réglementations sectorielles en matière de cybersécurité.

Les réglementations en matière de cybersécurité exigent de plus en plus de preuves enregistrées des pratiques de sécurité, et pas seulement des politiques et des procédures. La loi européenne sur la cyber-résilience oblige les fabricants à effectuer des tests de vulnérabilité et à conserver les résultats des tests enregistrés. DORA exige que les entités financières effectuent régulièrement des évaluations des risques liés aux TIC, des tests d'intrusion et une gestion des vulnérabilités, le tout avec des preuves enregistrées. L'article 32 du RGPD exige des mesures techniques et organisationnelles appropriées : les éléments probants d'audit de sécurité démontrent quelles mesures sont en place et qu'elles sont efficaces. Sans preuves d’audit de sécurité informatique enregistrées, les organisations ne peuvent pas prouver qu’elles ont rempli leurs obligations en matière de cybersécurité.

Les rapports de tests d'intrusion enregistrent la méthodologie de test d'intrusion interne et externe, les résultats, les chemins d'exploitation, les preuves et l'état de remédiation — requis pour les rapports de vulnérabilité CRA et les tests d'intrusion dirigés par les menaces DORA (TLPT). Les résultats de l'analyse des vulnérabilités à partir d'outils tels que Nessus, Qualys, OpenVAS et Rapid7 ont détecté des vulnérabilités avec des indices de gravité, des systèmes concernés et un suivi des mesures correctives. Les rapports d'audit ISO 27001 des organismes de certification accrédités fournissent une évaluation indépendante de la mise en œuvre et de l'efficacité du SMSI. La réponse aux incidents enregistre les délais des incidents de sécurité des actifs, les méthodes de détection, les évaluations d'impact, les actions de confinement et les examens post-incidents, fournissant ainsi la preuve de la capacité de détection des incidents et de réponse requise par le RGPD, le DORA et l'ARC.

Les rapports d'audit de sécurité, les résultats des tests d'intrusion, les exportations d'analyses de vulnérabilité et les enregistrements de réponse aux incidents sont téléchargés sur Sustalium. Les résultats correspondent aux cadres de conformité de cybersécurité pertinents : les résultats du pentest aux dossiers de conformité de l'ARC et aux registres des risques informatiques DORA, les analyses de vulnérabilité aux exigences de gestion des vulnérabilités DORA et aux preuves d'action préventive ISO 27001, les enregistrements d'incidents à la préparation aux notifications de violation du RGPD et aux obligations de surveillance après-vente de l'ARC. Sustalium suit les délais de remédiation et re-teste les calendriers, garantissant que les vulnérabilités identifiées sont corrigées dans les délais requis et que les preuves de remédiation sont enregistrées.

La loi européenne sur la cyber-résilience (CRA) exige que les fabricants effectuent des tests de vulnérabilité et conservent des preuves enregistrées de la gestion des vulnérabilités tout au long de la période de support produit. DORA (Digital Operational Resilience Act) exige des évaluations régulières des risques liés aux TIC, des tests d'intrusion et une gestion des vulnérabilités pour les entités financières. L’article 32 du RGPD impose des mesures de sécurité enregistrées adaptées aux risques liés au traitement des données personnelles. La loi de l’UE sur l’IA exige des preuves de tests de sécurité pour les systèmes d’IA à haut risque. La norme ISO 27001 exige des audits internes, des revues de direction et des preuves d'actions correctives. Les réglementations spécifiques à certains secteurs (services financiers, soins de santé, infrastructures critiques) comportent des exigences supplémentaires en matière d’audit et de test de cybersécurité. Les acheteurs d'entreprise exigent de plus en plus de preuves d'audit de sécurité comme condition d'achat.