Un écart d’audit n’est pas clos parce que son ticket porte la mention « résolu ». Le ticket peut attester qu’une configuration a été changée ; il ne démontre pas que le contrôle attendu fonctionne sur le bon périmètre, ni que la cause du défaut ne reproduira pas le même écart le mois suivant. La clôture demande une décision distincte : constater le résultat après correction, examiner le risque restant et faire accepter la conclusion par une personne compétente.
Cette page fournit une fiche de clôture pour les constats de sécurité ou de conformité. La checklist de préparation d’un audit NIS 2 présente les thèmes à examiner ; le guide d’audit PASSI situe le mandat technique. Ici, le travail commence après le constat. NIST SP 800-53A propose des méthodes adaptables d’examen, d’entretien et de test pour évaluer un contrôle. Il ne prescrit pas qu’un ticket fermé vaut preuve de correction, ni un délai légal de clôture identique à tous les écarts français.
Conserver le constat initial dans ses propres termes
Le rapport doit décrire la situation observée, la date, le système, la population et la méthode utilisée. « Gestion des accès insuffisante » ne permet pas de retester ; « deux comptes de prestataires ont conservé un droit de production après la fin de leur mission » donne un objet vérifiable. Gardez les pièces initiales dans un emplacement protégé. Une action corrective qui réécrit le constat après coup rend difficile la mesure du progrès et la compréhension de la décision.
Séparez gravité, urgence et preuve. La gravité dépend de l’impact et des possibilités d’exploitation ; l’urgence dépend aussi de l’exposition actuelle et des mesures temporaires. La preuve du défaut peut être une configuration, un journal, un entretien corroboré ou un essai. L’absence d’un document ne prouve pas toujours l’absence d’une activité ; elle peut révéler une faiblesse de traçabilité distincte. Qualifiez ce que l’audit a réellement établi avant d’ouvrir des tâches.
Le catalogue de contrôles permet de rappeler l’objectif et le critère d’échec. Une fermeture doit revenir à cette question initiale : quel résultat aurait dû être obtenu et comment saura-t-on qu’il l’est désormais ?
Chercher la cause avant de choisir la mesure
Corriger les deux comptes découverts est nécessaire, mais peut être insuffisant si la source des fins de prestation n’atteint jamais l’équipe identité. L’analyse de cause doit comparer processus prévu et événement réel. Qui devait signaler le départ ? La relation contractuelle était-elle dans l’inventaire ? Le compte était-il local ou central ? Le responsable avait-il les droits pour agir ? Cherchez des facteurs vérifiables plutôt qu’une formule vague comme « erreur humaine ».
Une cause peut combiner outil, responsabilité et calendrier. Par exemple, un ticket automatique est créé mais son champ « date de fin » reste vide, puis une équipe suppose qu’un autre service clôturera la demande. Traiter seulement l’interface ou seulement former les personnes laisse l’autre partie intacte. Indiquez ce qui est prouvé, ce qui est hypothétique et quelle vérification peut départager les hypothèses.
Le résultat de cette recherche définit l’étendue de la correction. Si un modèle d’autorisation erroné a affecté cent comptes, corriger les deux de l’échantillon n’est pas une clôture complète. Si un seul compte a reçu une exception approuvée mais mal documentée, modifier toute l’architecture peut être disproportionné. La note d’échantillonnage aide à distinguer un défaut observé dans quelques cas de la population potentiellement touchée.
Utiliser une fiche de clôture distincte du ticket d’exécution
Le ticket d’exécution suit une tâche technique ; la fiche suit le constat et sa conclusion. Plusieurs tâches peuvent contribuer à un seul constat, et une tâche peut affecter plusieurs contrôles. Conservez leurs liens plutôt que de copier le même statut partout. Le tableau ci-dessous est un modèle interne à adapter au mandat.
| Champ | Question de clôture | Preuve possible |
|---|---|---|
| Constat | Quel défaut initial, sur quel périmètre ? | Rapport, référence et date |
| Cause retenue | Quel mécanisme a permis le défaut ? | Analyse et hypothèses écartées |
| Risque actuel | Quel effet reste possible avant correction ? | Scénario et actifs concernés |
| Mesure immédiate | Que limite-t-on pendant l’attente ? | Restriction vérifiée |
| Action corrective | Quel changement durable est décidé ? | Demandes et responsable |
| Critère de réussite | Quelle observation invalide le constat ? | Essai défini avant exécution |
| Preuve d’exécution | Qu’a fait l’opérateur, et quand ? | Configuration ou ticket |
| Contre-vérification | Le résultat fonctionne-t-il sur la population cible ? | Test, export ou examen indépendant |
| Risque résiduel | Quelles limites ou exceptions subsistent ? | Décision et date de réexamen |
| Acceptation | Qui ferme le constat et sur quelle base ? | Identité, date, réserves |
Cette fiche ne doit pas contenir de secret, d’export massif non nécessaire ou de données personnelles recopiées sans raison. Elle peut référencer les pièces dans un dépôt à accès contrôlé. La personne qui relit doit pouvoir retrouver les faits, mais ne doit pas recevoir davantage d’informations sensibles que nécessaire.
Définir la réussite avant d’appliquer le correctif
Si l’action consiste à désactiver des comptes, le critère peut être l’absence de droit effectif sur les ressources concernées, et non seulement le statut « désactivé » dans l’annuaire. Si elle consiste à fiabiliser les départs, le critère doit couvrir de nouveaux événements et vérifier qu’ils atteignent l’équipe chargée du retrait. Si elle concerne une sauvegarde, le résultat peut être une restauration d’un service avec les clés et dépendances nécessaires, non un rapport de sauvegarde verte.
Un bon critère nomme la population et la méthode. « Aucun écart dans dix cas » doit expliquer comment les dix ont été choisis et pourquoi ils couvrent les zones à risque. Pour un défaut systémique de configuration, vérifiez la configuration sur toutes les instances affectées si c’est raisonnable. Pour un processus humain, suivez plusieurs événements nouveaux, avec leurs exceptions. La profondeur du retest dépend de la cause et de l’impact ; elle n’est pas fixée par un nombre universel.
Le NIST SP 800-53A aide à distinguer l’examen d’une procédure, l’entretien d’un acteur et le test d’un mécanisme. Une procédure mise à jour est une preuve de conception ; elle ne démontre pas que le prochain départ sera traité. À l’inverse, un test ponctuel réussi ne prouve pas que la nouvelle règle sera suivie pendant toute l’année.
Séparer l’action immédiate de la correction durable
Un écart portant sur une vulnérabilité demande souvent une mesure provisoire puis un correctif vérifié. La matrice de priorité des vulnérabilités aide à définir l’échéance, l’escalade et le critère de fermeture selon l’exposition et l’impact métier; la fiche de clôture conserve ensuite la preuve que l’action durable a fonctionné.
Pour un accès excessif, retirez ou limitez rapidement le droit exposé selon un plan contrôlé. La correction durable peut consister à modifier le modèle de rôle, la source des événements ou la revue des permissions. La fiche conserve les deux actions et leurs preuves. Une mesure temporaire peut réduire le risque avant que le projet plus long soit terminé, mais elle ne doit pas être présentée comme une clôture définitive sans décision explicite.
Indiquez le propriétaire de l’exception et sa condition de sortie. « Surveillance renforcée » ne suffit pas si personne ne sait quelle alerte surveiller, à quelle fréquence ou comment agir. Une limitation horaire doit être appliquée techniquement ou surveillée. La validité de la mesure compensatoire doit être vérifiée comme celle du contrôle principal.
Le plan de continuité d’activité peut expliquer pourquoi une correction immédiate serait dangereuse pour un service. Documentez alors le risque de l’attente et l’arbitrage. La sécurité ne progresse pas lorsque la correction d’un écart provoque une indisponibilité non préparée.
Exemple : un retrait de compte qui ne ferme pas l’écart
Dans un cas fictif, l’audit relève trois anciens prestataires encore membres d’un groupe donnant accès à l’environnement de test. L’exploitation retire les trois membres et ferme les tickets. Le retest constate que deux comptes sont effectivement privés du droit ; le troisième le récupère par un groupe hérité dans une application locale. La fermeture technique des tickets ne résout donc pas tout le constat.
L’équipe identifie la cause : l’inventaire des accès ne couvre pas les rôles applicatifs locaux. Elle ajoute l’application au rapprochement des fins de mission et vérifie les prestataires sortis depuis la dernière revue. Un second essai, réalisé sur un compte de démonstration selon un protocole autorisé, confirme qu’une fin de mission entraîne le retrait dans l’annuaire et l’application. La preuve conserve les droits avant/après et le chemin de la nouvelle notification.
La décision de clôture indique une réserve : une autre application historique reste à inventorier. Si elle partage le même mécanisme, le constat peut rester partiellement ouvert ou donner lieu à un constat distinct, selon le mandat. L’accepteur explique pourquoi la portée retestée suffit ou non. Un tableau de bord qui affiche simplement « trois tickets clos » ne peut pas rendre cette décision.
Faire intervenir une personne distincte pour la contre-vérification
L’opérateur sait ce qu’il a changé, mais peut manquer un accès équivalent ou un effet de bord. Une personne qui n’a pas exécuté la correction devrait vérifier le résultat lorsque l’enjeu le justifie. Elle peut être membre d’une autre équipe interne ; il n’est pas toujours nécessaire de commander un nouvel audit externe. Son rôle est de comparer le critère de réussite à l’état observé, de noter les limites et de demander un complément si besoin.
L’accepteur du risque peut être encore une autre personne. Il décide si une réserve résiduelle est compatible avec le service et les obligations applicables. Une signature ne transforme pas un contrôle défaillant en contrôle efficace ; elle rend explicite un arbitrage temporaire. La fiche doit montrer qui a observé l’effet et qui a accepté le risque, sans confondre les deux fonctions.
Si une équipe est trop petite pour séparer totalement les rôles, utilisez une revue croisée, un essai reproductible ou une approbation hiérarchique documentée. Ne prétendez pas à une indépendance que l’organisation n’a pas. La valeur de la contre-vérification vient de la possibilité de contredire l’opérateur sur des faits précis.
Traiter les écarts qui révèlent un problème de population
Un audit peut découvrir que la liste utilisée pour sélectionner les cas était incomplète. L’action n’est alors pas uniquement « ajouter les cas manquants ». Il faut comprendre pourquoi ils étaient absents et si d’autres objets le sont encore. Reprenez la source, ses filtres, les doublons et les systèmes hors périmètre. Une fermeture sur la seule population déjà connue reconduirait le défaut initial.
La nouvelle preuve doit inclure un contrôle de complétude, par exemple rapprochement des départs RH avec les comptes présents dans les applications, ou rapprochement des changements effectivement déployés avec les demandes approuvées. Les exceptions doivent être visibles, attribuées et résolues. Le dossier de rapprochement RH-habilitations fournit un exemple de chaîne événement-action-effet pour ce type d’écart.
Cette vérification peut faire grossir la population affectée. Réévaluez alors la gravité, la priorité et les destinataires de la décision. Ne conservez pas mécaniquement l’échéance et le responsable définis pour deux cas isolés si le même défaut touche plusieurs systèmes critiques.
Définir un statut qui exprime la réalité
Un plan d’action peut distinguer « à analyser », « mesure provisoire active », « correction en cours », « correction réalisée », « retest demandé », « retest concluant avec réserve » et « clos ». Les noms importent moins que les transitions autorisées. Une action réalisée ne devrait pas passer directement à « clos » lorsqu’une contre-vérification est requise. Un résultat de retest négatif doit rouvrir le travail sans effacer l’historique.
Le statut « risque accepté » exige une autre trace : périmètre, motif, décideur habilité, mesures en place, date ou événement de réexamen. Il ne doit pas servir de corbeille pour les actions en retard. Si la mesure est imposée par une règle applicable, une acceptation interne ne supprime pas l’obligation ; le dossier doit expliquer comment la situation sera régularisée et quelles démarches sont requises.
La matrice de validité des preuves aide à vérifier que le retest n’utilise pas une pièce rendue hors portée par un changement. Une capture récente d’un autre environnement ne ferme pas le constat de production.
Vérifier la tenue dans le temps
Une clôture peut être raisonnable après un essai concluant, tout en prévoyant une vérification ultérieure. Si l’écart venait d’une procédure oubliée, examinez les prochains événements. S’il venait d’une configuration commune, surveillez les changements qui pourraient la réintroduire. La fiche précise qui reprend le contrôle permanent et quelle preuve sera disponible au prochain audit. Sans cette transmission, l’audit devient une série de corrections ponctuelles.
Évitez de promettre qu’une correction « garantit la conformité ». Elle traite un constat défini sur un périmètre donné. Un nouveau système, fournisseur ou texte peut modifier l’analyse. Le guide de certification ISO/IEC 27001 situe les audits dans cette démarche ; la page publique ISO/IEC 27001 présente un système de management et un processus de risque évolutifs, sans fournir une formule automatique de fermeture applicable à tous les constats.
Le rapport final peut afficher le nombre d’actions closes, mais doit aussi montrer les écarts encore exposés, les réserves et les dates de décision. Une mesure de délai moyen de fermeture peut aider à piloter la charge ; elle ne dit rien de la qualité des retests. Présentez au décideur les cas qui nécessitent son arbitrage, avec des faits et des options plutôt qu’un score agrégé seul.
Relire le dossier avant de signer
Une personne extérieure au travail peut-elle retrouver le constat initial, la cause, la correction, la preuve d’effet et la décision ? La population retestée est-elle celle sur laquelle la conclusion porte ? Les mesures provisoires ont-elles encore un propriétaire ? Les risques résiduels sont-ils acceptés par la bonne autorité ? Si une réponse manque, laissez la ligne ouverte avec une action ciblée plutôt que de fabriquer une preuve de clôture.
Un plan d’actions utile se termine quand le mécanisme défaillant a été compris, que le changement a produit le résultat observé et que les limites de la conclusion sont visibles. Cette discipline permet au prochain audit de reprendre une décision vérifiable au lieu de recommencer l’enquête à partir d’une simple liste de tickets verts.