La conformité n'est pas la sécurité, mais les correspondances aident sur les deux plans

C'est l'une des observations les plus anciennes de la profession : la conformité n'est pas la sécurité. Les rapports de violation font régulièrement état d'organisations qui détenaient les bons certificats et avaient réussi leurs audits. Le constat est juste, mais la conclusion habituelle, selon laquelle la conformité ne serait que du théâtre, est erronée. Conformité et sécurité se recoupent largement. Le problème tient à ce qui se passe aux marges et à la part de temps que consomme la conformité.

Là où elles convergent

Les référentiels s'accordent sur les fondamentaux parce que ces fondamentaux fonctionnent. Chacun des onze référentiels que nous mettons en correspondance exige la gestion des actifs, la gestion des vulnérabilités, la sauvegarde et la reprise, la réponse aux incidents et la notification des incidents (le socle commun). La plupart exigent le MFA, la journalisation, les revues d'accès et la sécurité des fournisseurs. Une organisation qui fait réellement ces choses est bien plus difficile à compromettre qu'une autre qui ne les fait pas, certificat ou non.

Là où elles divergent

• Périmètre. Un audit couvre un système défini. Les attaquants ne respectent pas le périmètre : l'intrusion passe par l'ordinateur portable de l'entreprise, le serveur de test oublié ou le fournisseur situé hors de la limite.
• Point dans le temps. Les contrôles qui s'appliquent à l'échantillon audité peuvent ne pas fonctionner partout, tous les jours.
• Conception versus efficacité. Un contrôle peut exister, être documenté et testé, et ne pas empêcher l'attaque qu'il devait arrêter : un MFA contournable par hameçonnage, un scanner qui ne voit pas la moitié du parc.
• Ce que les référentiels laissent de côté. Plusieurs des chemins d'attaque les plus exploités (API, applications web, DNS) sont exigés par peu de référentiels, comme le montre notre analyse des sujets que les référentiels omettent.

Le vrai coût : le temps

Le problème le plus grave n'est pas que la conformité soit erronée ; c'est qu'elle coûte cher. Une organisation qui suit trois ou quatre référentiels peut consacrer l'essentiel de son effort de sécurité à la correspondance, aux preuves et aux audits, dont une bonne part est dupliquée. Chaque heure passée à produire la même revue d'accès dans trois formats est une heure non consacrée à la chasse aux menaces, au durcissement ou à la surface d'attaque que nul auditeur ne regarde.

Comment les correspondances servent aux deux

C'est là que la mise en correspondance se rentabilise. Si vous savez qu'un même contrôle satisfait simultanément ISO 27001, SOC 2, PCI DSS et NIS2, vous le mettez en œuvre une fois, vous en apportez la preuve une fois, et vous cessez de payer trois fois la taxe de conformité. Le temps économisé est celui dont la sécurité a besoin. Une bonne correspondance montre aussi où les référentiels se taisent, ce qui est précisément là où votre propre évaluation des risques doit mener.

Direction	Mis en correspondance	Faiblement liés	Aucune correspondance
Avoir ISO 27001 → viser SOC 2	41 sur 61 (67%)	0	20	rapport →
Avoir SOC 2 → viser ISO 27001	98 sur 123 (80%)	21	4	rapport →

Signes qu'un programme ne vise plus que la conformité

• Les travaux de sécurité sont planifiés autour des dates d'audit, et non des menaces.
• Les contrôles n'existent que dans le périmètre audité ; le reste du parc n'est pas traité.
• Les indicateurs mesurent les documents et les taux de réalisation, et non des résultats comme le délai de correction ou le délai de détection.
• L'équipe sait dire à quelle exigence du référentiel un contrôle répond, mais pas quelle attaque il arrête.
• Les constats sont clos en modifiant des documents plutôt que les systèmes.

Si plusieurs de ces signes vous sont familiers, la solution n'est pas d'abandonner la conformité ; c'est de l'automatiser et de réaffecter le temps ainsi gagné.

Points clés à retenir

• La conformité et la sécurité partagent les fondamentaux mais divergent aux marges.
• Le principal coût de la conformité est l'effort dupliqué.
• Mettre en correspondance une seule fois, automatiser les preuves et consacrer le temps gagné à la sécurité.

Que faire

1. Construire un jeu de contrôles unique mis en correspondance avec chaque référentiel auquel vous répondez, plutôt qu'un programme par référentiel.
2. Automatiser les preuves partout où le système peut les produire.
3. Consacrer le temps gagné à ce que les audits ne voient pas : gestion de la surface d'attaque, ingénierie de la détection, tests.
4. Mesurer la sécurité séparément de la conformité : incidents, délai de correction, résistance à l'hameçonnage, délai de reprise.

La conformité est le plancher, pas le plafond. Servez-vous des correspondances pour atteindre ce plancher au moindre coût, puis construisez au-dessus. L'analyse d'écarts et la matrice de couverture sont les points de départ.

Questions

Une organisation conforme est-elle sécurisée ?

Pas nécessairement. La conformité montre que des contrôles précis existent et fonctionnent dans un périmètre défini ; les attaquants visent ce qui est le plus faible, dans le périmètre ou non.

La conformité améliore-t-elle vraiment la sécurité ?

Oui : les référentiels imposent des bases que de nombreuses organisations négligeraient autrement, comme les inventaires d'actifs, l'application des correctifs, les revues d'accès et les plans de réponse aux incidents. Le problème survient lorsque la conformité devient tout le programme.