Qui devrait lire ceci : toute personne ayant passé les quatre semaines précédant un audit à courir après des captures d’écran, et qui préférerait ne pas recommencer l’an prochain.
Tout référentiel sérieux finit par demander la même chose. Non pas « avez-vous une politique », mais « montrez-moi que cela a tourné ». ISO 27001 parle d’informations documentées. NIS2 parle de démontrer les mesures. Un questionnaire client dit « joignez vos preuves ». Même question, trois vocabulaires.
Il y a deux façons d’y répondre, et l’écart entre elles sépare un système de management qui fonctionne d’un projet d’archéologie annuel.
Le mois d’avant, et pourquoi il revient
Le schéma est assez connu pour être décrit sans connaître votre entreprise.
Quatre à six semaines avant l’audit, quelqu’un ouvre la liste des mesures et commence à collecter. Une capture des réglages MFA. Une copie de la checklist d’arrivée. Un export de l’état des correctifs. Une liste de fournisseurs reconstituée à partir de la mémoire de trois personnes. Un rapport de sauvegarde du mois en cours, parce que personne n’a gardé les précédents.
Cela marche. L’audit passe. Puis cela recommence l’année suivante, car rien n’a changé dans la façon dont le travail est enregistré, seulement l’échéance.
Trois choses rendent cela coûteux au-delà des heures évidentes.
Cela échantillonne la mauvaise période. Les auditeurs demandent des preuves sur une fenêtre, pas un instantané. Les preuves assemblées décrivent presque toujours l’état actuel, exactement la forme qui appelle la question sur les onze autres mois.
Cela fait porter la charge à ceux qui peuvent le moins la porter. L’ingénieur capable de produire la capture est celui qui faisait autre chose.
Cela crée un dossier, pas un enregistrement. Un répertoire de captures assemblé en mars décrit mars. Il répond à cet audit et n’apporte rien au suivant, donc le coût se répète intégralement.
Ce que les auditeurs acceptent réellement
Utile d’être précis, car la croyance selon laquelle les preuves doivent être élégantes engendre beaucoup de travail inutile.
Les auditeurs acceptent les enregistrements produits comme sous-produit du travail. Un ticket daté. Une entrée de journal. Une approbation dans l’outil où se font les approbations. Une revue signée avec le nom du relecteur et la date.
Ils sont formés à repérer les preuves fabriquées pour eux. Non par méfiance, mais parce que c’est visible : un ensemble de documents aux horodatages voisins, une propreté que les opérations réelles n’ont pas, une capture d’un réglage plutôt qu’un enregistrement du changement qui l’a établi.
Et ils acceptent les trous expliqués. Un relevé de correctifs avec un trou et une note justificative est un système qui fonctionne avec un problème connu. Un relevé sans aucun trou, pour une entreprise de quarante personnes, est une affirmation que personne ne croit.
Le niveau attendu n’est pas la perfection. C’est la contemporanéité. Cela a-t-il été enregistré au moment où c’est arrivé.
Les quatre types de preuve, et lesquels peuvent se générer seuls
Trier vos preuves par type indique où se trouve vraiment le travail.
1. État de configuration. Application du MFA, chiffrement, politiques d’accès, posture cloud. Cela se lit dans les systèmes eux-mêmes, en continu, sans capture d’écran. Si vous photographiez encore des réglages, c’est la première chose à corriger.
2. Enregistrements d’événements. Connexions, changements, correctifs, incidents, alertes. Produits par les systèmes par nature. Le travail n’est pas de les créer, mais de les conserver sur la fenêtre d’audit et de pouvoir répondre à une question avec.
3. Décisions humaines. Acceptations de risque, approbations, dérogations, comptes rendus de revue de direction, évaluations fournisseurs. Elles ne peuvent pas se générer seules, car la preuve est la décision. Il leur faut un endroit où vivre, avec une date et un propriétaire, pour être retrouvées un an plus tard.
4. Activités périodiques. Revues d’accès, formation, tests de restauration, exercices de continuité, audits internes. Il leur faut un calendrier qui produise un enregistrement daté, que quelqu’un se souvienne ou non de l’audit à venir.
Les types 1 et 2 devraient être automatiques. Le type 3 a besoin d’un système d’enregistrement. Le type 4 a besoin d’un calendrier contraignant. Presque toute la douleur de préparation vient du fait de traiter les quatre comme du type 3, à la main.
Démarrer le compteur avant que les documents soient finis
C’est la conséquence de planification, celle qui coûte des trimestres entiers.
Votre système de management doit avoir fonctionné pendant une période avant l’étape 2, typiquement environ trois mois, car l’échantillonnage suppose un historique. C’est du temps calendaire. Ni l’argent ni l’effort ne le compriment, la contrainte au cœur de combien de temps prend réellement ISO 27001.
Ce qui signifie que les activités récurrentes doivent commencer en semaine une, imparfaites. Revues d’accès, relevés de correctifs, rétention des journaux, premières évaluations fournisseurs. La plupart des projets perfectionnent d’abord la documentation et démarrent le compteur au quatrième mois, repoussant la certification d’un trimestre entier sans aucun gain.
Une revue d’accès imparfaite mais datée vaut mieux qu’une revue parfaite qui n’a pas eu lieu. À chaque fois.
À quoi cela ressemble quand cela fonctionne
Une mesure porte quatre choses : un propriétaire, un statut, sa preuve et une date. La preuve arrive parce que le travail a eu lieu, pas parce que quelqu’un est allé la chercher.
Quand un questionnaire, un auditeur ou une autorité demande, la réponse est déjà là. Si l’audit interne et la revue de direction génèrent si souvent des constats, c’est que les deux dépendent de preuves déjà en place, et que les deux sont généralement programmés après que le travail de preuve a été reporté.
Cela change aussi l’économie. Le plus gros poste d’un budget ISO 27001 est le temps interne, et la préparation d’audit en absorbe l’essentiel. Le réduire pèse plus lourd que toute négociation avec un organisme de certification, comme le montre l’arithmétique de ce que la norme ISO 27001 coûte réellement à une PME.
C’est aussi tout l’intérêt de tenir le référentiel de mesures, la liste d’écarts et les preuves au même endroit plutôt qu’à trois. Non parce qu’un outil vaut mieux qu’un répertoire, mais parce qu’un enregistrement de mesure avec propriétaire et date est ce qui répondra aussi au référentiel suivant.
La réalité technique : une preuve générée prouve le moment, pas l’efficacité
La limite honnête de tout ce qui précède.
Une preuve qui s’assemble seule prouve qu’une mesure a fonctionné. Elle ne prouve pas qu’elle est efficace. Ce sont deux affirmations différentes, et la seconde ne figure pas sur le certificat.
Un scanner de vulnérabilités mensuel qui classe son rapport automatiquement produit d’excellentes preuves pour l’A.8.8. Il produit exactement les mêmes excellentes preuves que les constats critiques aient été corrigés en trois jours ou ignorés neuf mois. Une rétention de journaux continue satisfait l’A.8.15, que quiconque ait déjà interrogé ces journaux ou non. Des rapports de sauvegarde automatiques satisfont l’attente d’enregistrement, qu’une restauration ait été testée ou non.
Automatiser la collecte supprime l’archéologie. Cela ne comble pas l’écart entre une mesure qui existe et une mesure qui protège. Combler cet écart suppose que le constat aille quelque part, avec un propriétaire et une échéance, et que l’échéance soit tenue par autre chose que le calendrier d’audit. Les mesures où cela compte le plus, et celles où consigner suffit vraiment, sont séparées dans les mesures de l’annexe A regroupées pour le travail réel.
