Arrêtez d'acheter des outils de conformité avant d'avoir rédigé les politiques

Une séquence familière : l'entreprise doit obtenir SOC 2 ou ISO 27001, quelqu'un fait des recherches, et le premier achat est un outil : une plateforme de conformité, une suite de protection des postes, un SIEM, un générateur de politiques. Des mois plus tard, l'outil est à moitié configuré, ses alertes sont ignorées et l'auditeur pose des questions auxquelles il ne répond pas. L'outil n'était pas le problème. L'ordre, si.

Les outils mettent en œuvre des décisions

Chaque contrôle nécessite quelques décisions avant que tout outil ne soit utile : ce qui est dans le périmètre, qui en est responsable, à quelle fréquence il s'exécute, ce que signifie « conforme » et ce qui se passe en cas d'échec. Ces décisions constituent votre politique et vos procédures. Acheter un scanner de vulnérabilités sans elles, c'est obtenir des milliers de constats dont personne n'est responsable ; acheter un SIEM sans elles, c'est obtenir des journaux que personne ne lit.

Les référentiels concordent

Aucun référentiel courant n'exige un produit particulier. ISO 27001 demande des politiques, un traitement des risques et des mesures opérationnelles. SOC 2 vérifie si les contrôles sont conçus et fonctionnent efficacement. PCI DSS commence chacune de ses douze exigences par des politiques et procédures documentées et des rôles attribués. Tous supposent que la réflexion vient en premier.

Un meilleur ordre

1. Périmètre et risques : que protégeons-nous, contre quoi, et quels référentiels s'appliquent ? Une analyse d'écarts montre ce que le référentiel suivant ajoute à ce que vous avez déjà.
2. Décider de chaque contrôle : responsable, fréquence, norme et preuves. Consignez-le brièvement ; c'est votre ensemble de politiques (voir un seul ensemble de politiques pour plusieurs référentiels).
3. Exécuter d'abord manuellement, lorsque c'est possible. Une revue trimestrielle des accès dans un tableur vous apprend ce que l'outil doit faire.
4. Acheter ensuite des outils qui automatisent des décisions déjà prises, et les évaluer à l'aune de ces décisions.

Quand les outils passent en premier, et le travail ensuite

Il existe des exceptions. La protection des postes, l'authentification multifacteur (MFA) et les sauvegardes valent d'être déployées immédiatement, car leur valeur ne dépend pas d'un réglage fin. Et les plateformes de conformité qui vous aident à rédiger des politiques et à suivre les contrôles peuvent accélérer l'étape deux, à condition de traiter leurs modèles et leurs correspondances comme des brouillons, non comme des réponses (nous avons consacré un article aux correspondances que vous ne pouvez pas vérifier).

À quoi ressemble le fait de décider d'abord

Prenons la gestion des vulnérabilités, le contrôle le plus souvent acheté sous forme de produit. Avant de choisir un scanner, décidez :

• Périmètre : quels actifs sont analysés (internes, externes, cloud, conteneurs) et comment vous saurez que la liste des actifs est complète.
• Fréquence : PCI DSS exige des analyses internes tous les trois mois et après des modifications importantes ; les CIS Controls demandent des analyses automatisées des actifs internes et externes ; votre propre niveau de risque peut en exiger davantage.
• Gravité et délais : comment les constats sont évalués et dans quel délai chaque niveau de gravité doit être corrigé.
• Responsabilité : qui trie les constats, qui les corrige et qui accepte le risque lorsqu'un problème ne peut pas être corrigé.
• Preuves : quel rapport démontre que le contrôle a été exécuté et que les constats ont été traités.

Une fois ces cinq réponses consignées, l'évaluation d'un outil devient simple : couvre-t-il le périmètre, s'exécute-t-il à la fréquence voulue, évalue-t-il la gravité selon vos critères et produit-il les preuves ? Sans ces réponses, chaque démonstration paraît impressionnante et aucune ne répond à votre audit. Le même exercice vaut pour la journalisation, la protection des postes et la gestion des accès. Nos pages de sujets indiquent ce que chaque référentiel exige pour chaque contrôle, ce qui constitue une bonne liste de vérification pour ces décisions, et le sujet gestion des vulnérabilités est un bon point de départ.

Points clés

• Les outils mettent en œuvre des décisions ; achetez-les après avoir défini le périmètre, les responsables, la fréquence et les preuves.
• Aucun référentiel courant n'exige un produit spécifique.
• Exécutez d'abord manuellement un contrôle si vous le pouvez, puis automatisez-le.

Le test

Avant d'acheter, demandez-vous : quel contrôle cet outil met-il en œuvre, qui est responsable de ce contrôle, et quelles preuves va-t-il produire ? Si personne ne peut répondre, l'achat est prématuré.

Questions

Que doit-on faire en premier : les politiques ou les outils ?

Décider d'abord : périmètre, risques et mode de fonctionnement de chaque contrôle (qui, à quelle fréquence, selon quelle norme). Une fois consignées, ces décisions constituent vos politiques et procédures ; les outils les mettent ensuite en œuvre.

Les auditeurs exigent-ils des outils spécifiques ?

Aucun référentiel courant n'exige un produit particulier. Les auditeurs recherchent des contrôles opérationnels qui produisent des preuves, quelle que soit leur mise en œuvre.

Une plateforme d'automatisation de la conformité en vaut-elle la peine ?

Oui, peut-être, une fois que vous savez quels contrôles vous exécutez et qui en est responsable. Les plateformes sont efficaces pour les rappels, la collecte de preuves et le suivi ; elles ne peuvent pas définir à votre place votre périmètre ou votre appétence au risque.