L’objectif 17 du Référentiel Cyber France (audits réguliers) s’applique aux Entités Essentielles au titre de NIS2. Pour les Entités Importantes, cet objectif n’est pas formellement requis mais constitue une bonne pratique fortement recommandée. Au-delà de la conformité réglementaire, un programme d’audit interne continu est probablement l’outil le plus efficace pour maintenir une fonction cybersécurité opérationnelle dans la durée.
La pratique courante consiste à conduire un audit cybersécurité annuel global, sur deux à quatre semaines, qui produit un rapport dense lu une fois puis classé. Cette pratique est inefficace : elle concentre la charge d’audit sur une période courte, produit des constats trop nombreux pour être traités, et ne permet pas un suivi vivant. Une alternative consiste à étaler la charge d’audit sur l’année en structurant un programme de douze contrôles mensuels ciblés.
Le principe — un contrôle par mois sur un domaine ciblé
Plutôt qu’un audit annuel exhaustif, on organise douze contrôles mensuels, chacun consacré à un domaine cybersécurité spécifique. Chaque contrôle dure typiquement une à deux journées, produit un rapport court (2 à 3 pages) avec ses constats et ses actions correctives, et est traçable individuellement.
Les avantages de cette approche sont multiples. Première chose, l’étalement de la charge évite les pics de mobilisation et la fatigue d’audit. Deuxième chose, la dynamique mensuelle vivifie la fonction cybersécurité et la rend plus présente dans les routines opérationnelles. Troisième chose, la traçabilité fine de chaque contrôle facilite les revues trimestrielles et annuelles, et fournit une matière auditable face à un contrôle ex post de l’ANSSI.
Programme type — les douze contrôles mensuels
Voici un programme de référence que j’adapte selon le profil de l’organisation cliente. Cet ordre est indicatif et peut être permuté selon les priorités spécifiques.
Janvier — Sauvegardes et restauration. Vérification de l’effectivité des sauvegardes (existence, exhaustivité), test de restauration sur un échantillon, mesure du RPO et RTO réels. C’est le contrôle le plus rentable à conduire en premier dans une organisation : il révèle souvent des défauts critiques rapidement corrigeables.
Février — MFA et gestion des accès privilégiés. Inventaire des comptes administratifs, vérification du déploiement MFA, revue des accès dormants, contrôle des comptes de service. Le point d’attention principal : les comptes prestataires et les comptes d’urgence.
Mars — Patch management et gestion des vulnérabilités. Mesure du délai moyen entre publication d’une CVE critique et déploiement du correctif, inventaire des composants non patchés, vérification de la couverture du scan de vulnérabilités.
Avril — Revue des prestataires et tiers. Inventaire des prestataires ayant accès aux SI, vérification des clauses cyber dans les contrats, contrôle de l’effectivité des contrôles fournisseurs déclarés. Le point d’attention principal : les SPOF (Single Points of Failure) prestataires.
Mai — Exercice de crise cyber. Conduite d’un exercice annuel de gestion de crise, calibré sur un scénario sectoriel réaliste, avec mobilisation de la direction. J’ai consacré un article dédié à ce contrôle (P3.8).
Juin — Revue de la PSSI et de la documentation. Vérification de la mise à jour de la politique de sécurité, contrôle de la cohérence entre PSSI et procédures opérationnelles, identification des écarts.
Juillet — Sensibilisation et campagnes de phishing. Test de phishing simulé, mesure du taux de clic, identification des populations à risque, programmation de l’effort de sensibilisation pour le second semestre.
Août — Mois généralement calme, dédié à la rédaction du rapport semestriel et à la préparation du second semestre.
Septembre — Sécurité réseau et segmentation. Vérification de l’effectivité de la segmentation IT/OT, contrôle des règles firewall, audit des accès distants et VPN.
Octobre — Protection des postes et chiffrement. Couverture EDR/antivirus, activation BitLocker ou équivalent sur l’ensemble du parc, contrôle du chiffrement des supports amovibles.
Novembre — Conformité multi-référentielle. Revue du dashboard multi-référentiel, identification des écarts résiduels, plan d’action pour l’année suivante.
Décembre — Bilan annuel et plan de l’année suivante. Synthèse des douze contrôles, identification des tendances, préparation du programme de l’année à venir, présentation au COMEX.
Format de chaque contrôle
Chaque contrôle mensuel suit un format standard pour faciliter l’agrégation et la comparaison.
Cadrage en début de contrôle (objectif, périmètre, méthode, durée prévisionnelle). Méthode pouvant combiner interview, observation, test technique et revue documentaire. Livrable de fin de contrôle structuré en quatre parties : constats positifs, écarts observés, actions correctives proposées avec responsable et délai, indicateurs de suivi.
Le rapport tient typiquement en 2 à 3 pages, assez court pour être lu intégralement par la direction et l’équipe concernée, assez documenté pour servir de matière auditable. Une trame standard de rapport accélère considérablement la production.
La revue trimestrielle de synthèse
À la fin de chaque trimestre, une revue de synthèse agrège les constats des trois contrôles écoulés. Cette revue identifie les tendances (par exemple, plusieurs contrôles successifs qui pointent un manque de discipline sur les comptes à privilèges), les actions correctives qui se cumulent (un même responsable qui voit s’accumuler les actions à traiter), et les risques émergents non couverts par le programme initial.
Cette revue trimestrielle alimente la révision éventuelle du plan annuel. Si une tendance forte émerge, on peut anticiper certains contrôles ou en ajouter au programme.
La revue annuelle au COMEX
La revue annuelle de fin d’année (idéalement en décembre, parfois reportée en janvier) présente au comité exécutif la synthèse des douze contrôles, l’évolution du score de couverture multi-référentielle, les écarts récurrents qui n’ont pas pu être traités, et le plan de l’année suivante.
Cette revue dure typiquement une heure et constitue un livrable visible de la fonction cybersécurité au plus haut niveau de l’organisation. Pour le RSSI, c’est l’occasion de matérialiser la valeur du programme et d’arbitrer les budgets de l’année à venir avec une matière objective.
Mise en place du programme la première année
La première année de mise en place du programme suppose un effort additionnel pour cadrer les méthodes et les trames de chaque contrôle. Typiquement, deux à trois jours supplémentaires sur chaque contrôle pour caler la méthode.
À partir de la deuxième année, le programme entre en régime de croisière et chaque contrôle se conduit en une à deux journées. Le coût annuel total se situe alors typiquement entre 15 et 25 jours-homme, soit 20 à 35 k€ pour un consultant senior, ou la disponibilité partielle d’un RSSI interne.
En conclusion
Un programme d’audit interne continu structuré en douze contrôles mensuels est probablement l’outil le plus rentable qu’une fonction cybersécurité puisse mettre en place. Il transforme l’audit d’un exercice ponctuel subi en un dispositif vivant de pilotage. Il améliore la maturité opérationnelle de l’organisation année après année, et il produit une matière auditable directement exploitable en cas de contrôle externe.
Pour les RSSI qui veulent professionnaliser leur démarche en 2026, ce programme est probablement le projet structurant à privilégier après la mise en conformité initiale NIS2.
Découvrez nos formations professionnelles et nos prestations de service.
Sources : Référentiel Cyber France v2.5 de l’ANSSI, objectif 17 ; ISO/IEC 27001:2022 sur l’audit interne ; bonnes pratiques sectorielles ; ISO 19011 sur les audits de systèmes de management.
Commentaires récents