Conformité continue : des audits annuels à la surveillance continue des contrôles

Les audits annuels montrent comment les contrôles fonctionnaient le jour de l'audit. La surveillance continue des contrôles montre s'ils fonctionnent le reste de l'année, à condition que vous soyez clair sur ce que l'automatisation peut et ne peut pas prouver.

Pour de nombreuses organisations, la conformité fonctionne encore selon un cycle annuel : se préparer à l'audit, réussir l'audit, puis revenir au travail normal jusqu'au suivant. Ce modèle a toujours été fragile, et la réglementation européenne le rend plus difficile à maintenir. NIS2, DORA et ISO/IEC 27001 s'attendent à ce que les organisations sachent si leurs contrôles fonctionnent tout au long de l'année, pas seulement pendant la période d'audit. Cet article explique ce que signifie la conformité continue en pratique, où l'automatisation des preuves aide, où elle ne le fait pas, et comment arrêter de mettre en œuvre le même contrôle trois fois pour trois référentiels.

Ce que « continu » signifie réellement

Le terme est souvent mal interprété comme « surveillance en temps réel de tout ». La définition du NIST de la surveillance continue de la sécurité de l'information est plus modeste et plus utile : maintenir une connaissance permanente de la sécurité de l'information, des vulnérabilités et des menaces pour appuyer les décisions de gestion des risques ^[1]. Le NIST précise que « continu » signifie que les contrôles et les risques sont évalués à une fréquence suffisante pour appuyer les décisions fondées sur les risques. ^[1].

En d'autres termes, une configuration de pare-feu peut être vérifiée quotidiennement, les examens d'accès trimestriellement et un plan de continuité des activités annuellement. L'important est que la fréquence soit choisie délibérément et corresponde au risque, plutôt que d'être dictée par le calendrier d'audit.

Ce que les référentiels attendent

• NIS2 exige des « politiques et procédures pour évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité » (article 21, paragraphe 2, point f) ^[2].
• DORA exige que les entités financières documentent leur référentiel de gestion du risque lié aux TIC et l'examinent au moins une fois par an, ainsi qu'après les incidents majeurs liés aux TIC (article 6, paragraphe 5) ^[3].
• ISO/IEC 27001:2022 exige que l'organisation détermine ce qui doit être surveillé et mesuré, comment et quand, et qu'elle mène des audits internes et des revues de direction à intervalles planifiés (clauses 9.1 à 9.3) ^[4].

Aucun de ces textes n'utilise l'expression « conformité continue », mais tous supposent une surveillance continue plutôt qu'un instantané une fois par an.

L'automatisation peut vous dire qu'un contrôle a été exécuté ; elle ne peut pas vous dire que c'était le bon contrôle.

Les limites de l'audit annuel

Un audit externe est un échantillon prélevé à un moment donné. Il répond à la question « l'auditeur a-t-il trouvé des preuves suffisantes que les contrôles ont été conçus et fonctionnaient pendant la période échantillonnée ? » Il ne dit pas à la direction si un contrôle a échoué mardi dernier.

Cela crée trois problèmes courants :

1. Dérive : les configurations, les droits d'accès et les relations avec les fournisseurs changent constamment. Un contrôle qui était efficace en mars peut ne pas l'être en septembre.
2. Collecte de preuves en urgence : les équipes passent des semaines à collecter des captures d'écran et des exports avant chaque audit, souvent en recréant des preuves qui existent déjà ailleurs.
3. Découverte tardive : les faiblesses apparaissent lors de l'audit, quand il y a peu de temps pour les corriger correctement.

Ce que l'automatisation des preuves peut faire

La collecte automatisée de preuves se connecte à des systèmes tels que les fournisseurs d'identité, les plateformes cloud, la gestion des points de terminaison, les outils de gestion des tickets et les systèmes RH, et enregistre l'état d'un contrôle à intervalles réguliers. Bien exécutée, elle offre des avantages clairs.

Cas d'usage solides

• Vérifications de configuration : paramètres de chiffrement, journalisation activée, authentification multifacteur appliquée, travaux de sauvegarde terminés.
• Données de population : listes d'utilisateurs, d'appareils ou de systèmes qu'un contrôle doit couvrir, afin que vous puissiez identifier les lacunes.
• Tests de conformité aux délais : vérifier que les vulnérabilités ont été corrigées dans la fenêtre convenue, ou que les départs ont entraîné une perte d'accès dans le délai prévu.
• Historique des preuves : une piste datée montrant l'état d'un contrôle dans le temps, plus convaincante pour un auditeur qu'une simple capture d'écran.

Ce que l'automatisation des preuves ne peut pas faire

L'automatisation peut vous dire qu'un contrôle a été exécuté ; elle ne peut pas vous dire que c'était le bon contrôle. Plusieurs aspects de la conformité restent des questions de jugement humain.

• Adéquation de la conception : vérifier qu'une politique ou un contrôle est approprié pour vos risques. Un outil peut confirmer qu'un document de politique existe ; il ne peut pas juger s'il est adapté à votre contexte.
• Décisions en matière de risque : accepter un risque, choisir un traitement ou fixer un appétit pour le risque sont des décisions de gestion. NIS2 place une responsabilité explicite sur les organes de gestion pour approuver et superviser les mesures de gestion des risques (article 20). ^[2].
• Contrôles de processus : gestion des incidents, diligence raisonnable envers les fournisseurs, efficacité de la sensibilisation et exercices de crise sont généralement documentés par des enregistrements d'actions menées par des personnes, non par des états de système.
• Contexte et exceptions : une alerte indiquant que l'authentification multifacteur est désactivée pour un compte peut être un défaut ou une exception approuvée pour un compte de service. Quelqu'un doit en décider.
• Couverture : l'automatisation ne voit que les systèmes auxquels elle est connectée. L'informatique fantôme, les processus papier et les fournisseurs en dehors de l'intégration restent des points aveugles.

Une cible raisonnable est d'automatiser les preuves techniques qui sont répétitives et objectives, et de conserver des enregistrements structurés et datés pour les contrôles basés sur le jugement. Les deux doivent alimenter le même enregistrement de contrôle.

Concevoir les contrôles une seule fois : ensembles de contrôles unifiés

La plupart des organisations soumises à la NIS2 ont également une certification ISO/IEC 27001, des obligations RGPD et, dans les services financiers, DORA. De nombreuses exigences se chevauchent : contrôle d'accès, journalisation, gestion des incidents, sauvegarde, sécurité des fournisseurs et formation figurent dans tous ces référentiels.

Comment fonctionne la mise en correspondance des contrôles

Un ensemble de contrôles unifié (parfois appelé référentiel de contrôle commun) définit chaque contrôle une seule fois, dans vos propres termes, avec un propriétaire, une fréquence et les preuves qu'il produit. Chaque contrôle est ensuite mis en correspondance avec les exigences qu'il satisfait dans chaque référentiel.

Par exemple, un seul contrôle « l'accès privilégié est examiné trimestriellement par les propriétaires de systèmes » pourrait être associé aux contrôles d'accès de l'annexe A d'ISO/IEC 27001, à l'article 21(2)(i) de NIS2 sur les politiques de contrôle d'accès ^[2] et aux exigences de gestion du risque lié aux TIC de DORA ^[3]. Un examen, une preuve, trois référentiels.

Les mises en correspondance publiques sont utiles. Le programme National Online Informative References (OLIR) du NIST publie des relations structurées entre le NIST Cybersecurity Framework et d'autres normes ^[5]. Les conseils techniques de mise en œuvre de la NIS2 de l'ENISA incluent un tableau de mise en correspondance accompagné d'exemples de preuves. ^[6].

Règles de conception pratiques

• Rédiger les contrôles comme des déclarations testables : qui fait quoi, à quelle fréquence, et quel enregistrement cela laisse.
• Mettre en correspondance plusieurs-à-plusieurs, mais documenter la justification : une mise en correspondance est une affirmation qu'un auditeur peut tester. Notez où un contrôle ne couvre que partiellement une exigence.
• Garder les lacunes spécifiques au référentiel visibles : le registre des informations de DORA ou les délais de signalement des incidents de NIS2 peuvent nécessiter des contrôles dédiés qui n'ont pas d'équivalent ISO.
• Versionnez vos mises en correspondance : les référentiels évoluent. CyberFundamentals est passé à une version 2025 et le NIST a publié CSF 2.0 en 2024. Refaites la mise en correspondance lorsque les sources changent, et conservez l'historique.

Une approche par étapes

1. Inventaire : listez vos référentiels, vos contrôles actuels et où les preuves se trouvent aujourd'hui.
2. Rationaliser : fusionnez les contrôles en double en un seul ensemble et associez-les à chaque référentiel.
3. Définir les fréquences : attribuez une fréquence de surveillance à chaque contrôle en fonction du risque.
4. Automatisez sélectivement : commencez par les contrôles techniques à haut volume où l'intégration est simple.
5. Fermer la boucle : acheminez les défaillances vers les responsables, suivez la remédiation et signalez les tendances à la direction.
6. Préparez les audits à partir du même enregistrement : les auditeurs doivent voir les mêmes contrôles et preuves que la direction consulte tout au long de l'année.

Conclusion

La conformité continue n'est pas une fonctionnalité de produit ou un tableau de bord. C'est un modèle opérationnel dans lequel les contrôles sont définis une fois, surveillés à une fréquence délibérée, et documentés comme sous-produit du travail normal. L'automatisation rend cela moins coûteux pour les contrôles techniques ; le jugement humain reste essentiel pour la conception, les risques et les processus.

Secrato aide les organisations à gérer des référentiels tels que NIS2, DORA et ISO/IEC 27001 sur une seule plateforme hébergée en UE, avec des contrôles partagés, des preuves et des pistes d'audit.