Référentiels de mesures

Quel mécanisme empêche l'installation d'une application hors catalogue sur un appareil géré, et que se passe-t-il si un utilisateur tente de contourner ce blocage ?

Politique de gestion des appareils mobiles ; configuration du profil de restriction appliqué ; catalogue d'applications autorisées ; tentative d'installation hors catalogue sur un appareil de test ; journal des tentatives bloquées ; liste des appareils déverrouillés détectés.

Sur quels appareils l'effacement à distance est-il effectivement disponible, qui peut le déclencher, et comment vérifie-t-on qu'un effacement demandé a bien abouti ?

Console de gestion des appareils : appareils inscrits et commande d'effacement disponible ; liste des personnes habilitées à la déclencher ; historique des effacements demandés sur douze mois avec leur statut d'aboutissement.

Quelle politique de verrouillage est imposée par la configuration des appareils, et quelle proportion du parc y est effectivement conforme ?

Profil de configuration imposant le verrouillage ; paramètres de robustesse et de délai ; rapport de conformité du parc ; échantillon de dix appareils vérifiés sur la console.

Comment les données professionnelles sont-elles séparées des données personnelles sur un appareil, et quels échanges restent possibles entre les deux espaces ?

Configuration du conteneur ou du profil de travail ; règles d'échange entre espaces professionnel et personnel ; démonstration d'un copier-coller et d'un partage depuis l'espace professionnel ; liste des appareils sans cloisonnement.

À quand remonte la dernière mise à jour des schémas d'architecture, quel changement l'a déclenchée, et qui peut les consulter ?

Schémas d'architecture datés et versionnés ; registre des modifications avec le changement ayant déclenché la dernière mise à jour ; droits d'accès au dépôt des schémas ; liste des destinataires.

Quelles zones réseau existent, quels flux sont autorisés entre elles, et sur quelle base ces autorisations ont-elles été accordées ?

Plan des zones réseau ; matrice des flux autorisés entre zones ; configuration réelle des équipements de filtrage ; échantillon de dix règles avec leur justification et leur demandeur ; test de flux entre deux zones réputées cloisonnées.

Un serveur applicatif compromis donnerait-il un accès direct au stockage des données, et par quel mécanisme cet accès est-il médiatisé ?

Schéma applicatif montrant les couches ; configuration des accès du serveur applicatif au stockage ; comptes et droits utilisés pour cet accès ; démonstration de ce qu'un accès direct au stockage produit depuis la couche applicative.

Quelle séparation existe entre les environnements, et quelles données de production se retrouvent aujourd'hui dans un environnement de test ?

Inventaire des environnements ; comptes et droits par environnement ; règles de flux entre eux ; échantillon de jeux de données hors production examinés pour y chercher des données réelles ; procédure d'anonymisation et sa trace d'exécution.

Quel outil de revue automatique s'exécute avant intégration, quels constats bloquent effectivement la fusion, et comment une exception est-elle accordée ?

Configuration de la chaîne d'intégration ; règles d'analyse activées et seuils bloquants ; historique des dix dernières fusions avec le verdict de l'analyse ; registre des exceptions accordées et leur motif ; soumission d'un code volontairement défectueux.

Quels composants ont fait l'objet de tests dynamiques, avec quelle couverture, et qu'est devenue la dernière anomalie découverte par ce moyen ?

Plan de test dynamique et périmètre couvert ; rapports des dernières campagnes ; registre des anomalies découvertes avec leur priorisation ; suivi de la correction de la dernière anomalie.

En quoi l'environnement de test diffère-t-il de la production, et d'où proviennent les données qui y sont utilisées ?

Description des environnements de test ; comparaison avec la production ; origine et nature des jeux de données employés ; procédure de rafraîchissement des données de test.

Quel environnement de développement est fourni aux développeurs, quels contrôles de sécurité y sont actifs par défaut, et un développeur peut-il y installer une extension de son choix ?

Image ou configuration de référence de l'environnement de développement ; greffons de sécurité activés ; politique d'extensions ; poste d'un développeur examiné en séance.

Quand la dernière comparaison entre configuration réelle et configuration de référence a-t-elle eu lieu, combien d'écarts a-t-elle révélés, et où en est leur traitement ?

Configuration de référence approuvée ; rapport de la dernière comparaison ; liste des écarts constatés avec leur statut ; preuves de correction ou acceptations formelles signées.

Qui a conduit le dernier audit de sécurité, quelle était son indépendance vis-à-vis des équipes auditées, et quelle proportion de ses constats est aujourd'hui close ?

Rapport du dernier audit ; lettre de mission et rattachement hiérarchique des auditeurs ; plan d'action issu des constats avec état d'avancement ; preuves de clôture pour trois constats pris au hasard.

Quel a été le dernier exercice purple team, quelles techniques d'attaque n'ont pas été détectées, et quelles règles de détection ont été ajoutées depuis ?

Rapport du dernier exercice offensif-défensif ; scénarios et techniques employés ; liste des techniques non détectées ; règles de détection ajoutées depuis, avec leur date de mise en service et leur test.

Quelles mesures ont été testées au cours des douze derniers mois, comment l'efficacité a-t-elle été mesurée, et laquelle a échoué au test ?

Plan de test d'efficacité et mesures couvertes ; protocole et critère de réussite pour chaque test ; résultats des douze derniers mois ; dossier de la mesure ayant échoué et suite donnée.

Quels accès au système d'information restent possibles sans authentification nominative, et quels comptes partagés subsistent aujourd'hui ?

Inventaire des systèmes et de leur mode d'authentification ; liste des accès anonymes ou en compte partagé subsistant, avec justification ; extraction des comptes partagés depuis l'annuaire ; entrées de la piste d'audit montrant l'usage d'un tel compte.

Quels accès exigent aujourd'hui un second facteur, quels facteurs sont acceptés, et lesquels résistent à l'hameçonnage ?

Liste des applications et accès avec l'exigence de second facteur ; facteurs acceptés par service ; extraction des comptes privilégiés sans second facteur ; politique d'exception et cas en vigueur.

Quelles applications sont raccordées à l'authentification unique, lesquelles ne le sont pas, et pourquoi ?

Inventaire applicatif avec le mode d'authentification de chacune ; configuration du service d'authentification unique ; liste des applications non raccordées et motif ; test de révocation d'un compte et effet observé sur les applications raccordées.

Quelle fonction de hachage et quels paramètres protègent les mots de passe stockés, et reste-t-il un référentiel où ils sont réversibles ?

Paramètres de hachage du service d'identité et des applications gérant leurs propres comptes ; extraction anonymisée d'un enregistrement d'empreinte ; recherche de mots de passe stockés en clair ou chiffrés de façon réversible dans les bases et les fichiers de configuration.

Reste-t-il un chemin, interne ou externe, sur lequel une authentification transite sans chiffrement ?

Configuration TLS des points d'authentification internes et externes ; capture de trafic sur un chemin interne d'authentification ; résultat d'un balayage des services exposant une authentification non chiffrée.

Quels protocoles d'authentification sont en usage, et lesquels transmettent encore le secret lui-même plutôt qu'une preuve de sa détention ?

Protocoles d'authentification en service et leur configuration ; liste des protocoles hérités encore actifs sur l'annuaire ; capture montrant qu'aucun secret ne transite en clair.

Quelles règles de mot de passe sont imposées techniquement, et lesquelles ne sont qu'écrites dans la politique sans être appliquées par le système ?

Politique de mot de passe écrite ; stratégie appliquée dans l'annuaire et sur les systèmes hors annuaire ; rapprochement entre les deux ; test de création d'un mot de passe trivial ou figurant dans une liste de mots de passe compromis.

Quel moyen l'organisation donne-t-elle aux utilisateurs pour ne pas réutiliser leurs mots de passe, et comment la réutilisation est-elle détectée ?

Solution de gestion de secrets fournie et taux d'adoption ; configuration du service d'authentification unique ; résultat d'un contrôle de réutilisation de mots de passe si un tel contrôle existe.

Après combien d'échecs un compte est-il verrouillé, comment est-il déverrouillé, et l'identité du demandeur est-elle vérifiée à ce moment ?

Paramètre de verrouillage après échecs dans l'annuaire et sur les applications autonomes ; procédure de déverrouillage écrite ; entrées de la piste d'audit sur les verrouillages et déverrouillages des trois derniers mois ; test d'échecs successifs sur un compte d'essai.

Comment l'origine d'un flux de données entrant est-elle vérifiée avant traitement, et que devient un flux dont la source ne peut être authentifiée ?

Liste des flux entrants et de leur mécanisme d'authentification de source ; configuration de la vérification ; injection d'un flux de source non authentifiée sur un environnement de test et observation du rejet.

Comment un employé déclare-t-il un incident, combien de déclarations ont été reçues sur la dernière période, et qu'arrive-t-il à celui qui déclare à tort ?

Support de formation traitant de la déclaration d'incident ; procédure et canal de déclaration ; registre des déclarations reçues sur douze mois ; règle de non-sanction de la déclaration de bonne foi ; entretien avec deux employés sur ce qu'ils feraient.

Quelle formation traite des mises à jour, et quel est le délai moyen entre la mise à disposition d'un correctif et son installation sur les postes ?

Contenu de formation portant sur les mises à jour ; taux de complétion ; rapport de conformité des correctifs sur le parc ; délai moyen entre disponibilité et installation.

Quels parcours de formation distincts existent selon les rôles, et quel taux de complétion atteignent-ils par population ?

Catalogue des parcours de formation par rôle ; affectation des populations aux parcours ; taux de complétion par population sur le dernier cycle ; contenu du parcours destiné aux administrateurs.

Quel est le délai constaté entre la perte d'un appareil et sa déclaration, sur les cas survenus, et quelle action l'organisation déclenche-t-elle à réception ?

Support de sensibilisation traitant du vol et de la perte ; procédure de déclaration hors heures ouvrables ; registre des pertes et vols déclarés avec le délai constaté entre l'événement et la déclaration ; actions déclenchées à réception.

Quelles règles de manipulation sont enseignées par niveau de classification, et comment l'organisation vérifie-t-elle qu'elles sont suivies ?

Règles de manipulation par niveau de classification ; support de sensibilisation correspondant ; contrôles ponctuels réalisés et leurs constats ; entretien avec deux employés manipulant des données sensibles.

Quel contenu de sensibilisation traite de l'authentification, et quelle proportion du personnel utilise effectivement le gestionnaire de secrets fourni ?

Contenu de sensibilisation sur l'authentification ; taux d'usage réel du gestionnaire de secrets extrait de l'outil ; taux d'activation du second facteur.

Quand le contenu de sensibilisation a-t-il été actualisé pour la dernière fois, et quelle menace nouvelle y a-t-on ajoutée ?

Contenu de sensibilisation avec sa date de dernière révision ; historique des versions ; menaces ajoutées lors de la dernière mise à jour et source ayant motivé l'ajout.

Quels exercices d'ingénierie sociale ont été conduits, quels taux de clic et de déclaration ont-ils produits, et comment ces résultats sont-ils utilisés ?

Rapports des campagnes d'hameçonnage simulé ; taux de clic et taux de déclaration par campagne ; actions de formation ciblées consécutives ; règle interne excluant l'usage disciplinaire des résultats.

Quels accès passent par une infrastructure virtualisée, l'image est-elle réinitialisée entre les sessions, et quels échanges de fichiers ou de presse-papiers restent autorisés ?

Architecture de la solution de postes virtualisés ; politique de réinitialisation de l'image entre sessions ; réglages d'échange de fichiers et de presse-papiers ; ouverture d'une session de démonstration.

Depuis quel poste un administrateur exerce-t-il ses droits privilégiés, et ce poste permet-il de lire un courriel ou de naviguer sur Internet ?

Inventaire des stations d'administration ; configuration durcie appliquée ; règles de filtrage limitant leur accès réseau ; démonstration d'une tentative d'accès à Internet et à la messagerie depuis l'une d'elles.

Combien de comptes disposent de droits élevés permanents, quelle justification est au dossier pour chacun, et quand ces droits ont-ils été revus ?

Extraction des comptes disposant de droits élevés permanents ; dossier de justification par compte ; date et résultat de la dernière revue ; configuration du mécanisme d'élévation temporaire et entrées de sa piste d'audit.

Sur quelle base le besoin d'en connaître est-il établi et documenté, et que devient l'accès d'une personne qui change de fonction ?

Procédure d'octroi d'accès et pièce établissant le besoin ; échantillon de dix octrois récents avec leur justification ; procédure appliquée aux changements de fonction et trace des ajustements opérés.

Quelle proportion des droits est attribuée par rôle plutôt qu'individuellement, et qui approuve la création d'un rôle ou l'affectation à un rôle ?

Extraction des rôles et de leur contenu ; part des droits attribués hors rôle ; circuit d'approbation de la création d'un rôle et de l'affectation ; échantillon de cinq affectations avec leur approbation.

Quels systèmes s'appuient sur l'annuaire central, lesquels conservent des comptes locaux, et pourquoi ?

Inventaire des systèmes et de leur rattachement à l'annuaire central ; extraction des comptes locaux par système ; justification des systèmes non raccordés ; droits d'administration de l'annuaire et journalisation de leur usage.

Que se passe-t-il concrètement lorsqu'un dispositif non conforme se connecte au réseau, et quels critères déterminent la conformité ?

Configuration du contrôle d'accès réseau ; critères de conformité évalués ; connexion d'un dispositif non conforme sur un port de test et observation du placement en quarantaine ; journal des mises en quarantaine.

Après quel délai d'inactivité un compte est-il désactivé, le processus est-il automatique, et combien de comptes dormants restent actifs aujourd'hui ?

Paramètre de désactivation automatique et son délai ; extraction des comptes sans connexion depuis ce délai et encore actifs ; trace des désactivations automatiques opérées sur trois mois.

Combien de comptes privilégiés existent, sont-ils nominatifs, et comment leur usage est-il tracé et revu ?

Extraction des comptes privilégiés avec leur caractère nominatif ou partagé ; configuration du coffre à secrets ; entrées de la piste d'audit sur l'usage de dix comptes privilégiés ; compte rendu de la dernière revue.

Qui est propriétaire des profils d'accès, à quelle fréquence leur contenu est-il revu, et combien de profils ne sont plus affectés à personne ?

Catalogue des profils avec leur propriétaire et leur date de revue ; extraction des profils sans affectation ; procédure de revue et compte rendu du dernier exercice.

Où est tenu l'inventaire des comptes de service, quelle est sa date de dernière mise à jour, et combien de ces comptes n'ont pas de propriétaire identifié ?

Inventaire des comptes système et de service avec propriétaire, raison d'être et date de revue ; rapprochement avec les comptes réellement présents dans l'annuaire ; liste des comptes sans propriétaire identifié.

Quand l'inventaire des comptes a-t-il été rapproché des effectifs pour la dernière fois, et combien de comptes sans titulaire ce rapprochement a-t-il révélés ?

Extraction des comptes utilisateur actifs ; extraction des effectifs depuis les ressources humaines ; rapprochement des deux listes ; comptes sans titulaire correspondant et suite donnée.

Comment les permissions excessives sur les partages et répertoires sont-elles recherchées, et qu'a révélé la dernière recherche de ce type ?

Rapport de recherche des permissions excessives sur les partages ; liste des répertoires accessibles à tous les utilisateurs ; échantillon de dix répertoires sensibles avec leurs listes de contrôle d'accès ; preuves de correction des derniers constats.

Qui a conduit la dernière revue des droits, sur quel périmètre, et combien d'accès ont été effectivement révoqués à l'issue ?

Campagne de revue des droits : périmètre, responsables sollicités, taux de réponse ; liste des accès confirmés et des accès retirés ; vérification dans l'annuaire que dix révocations décidées ont bien été exécutées.

Quelle procédure s'applique en cas de suspicion de vol d'un mot de passe, en combien de temps peut-elle être exécutée, et a-t-elle déjà été employée ?

Procédure de rotation d'urgence d'un secret ; délai d'exécution annoncé et moyens disponibles hors heures ouvrables ; trace des rotations opérées à la suite d'une suspicion.

Quel événement déclenche la suspension des accès lors d'une absence longue, et combien de suspensions ont été opérées sur la dernière période ?

Procédure liant les absences longues à la suspension des accès ; déclencheur côté ressources humaines ; liste des suspensions opérées sur douze mois ; échantillon de trois absences en cours avec l'état réel des accès.

Après combien de temps d'inactivité un poste se verrouille-t-il, le réglage est-il imposé par configuration, et l'utilisateur peut-il l'assouplir ?

Stratégie de verrouillage appliquée par configuration ; délai paramétré ; test de modification du réglage depuis un poste utilisateur ; rapport de conformité du parc.

Sur un échantillon de postes et de serveurs, quel écart y a-t-il entre la version installée et la dernière version publiée ? Quel délai la politique fixe-t-elle, quelle proportion du parc le respecte, et comment les exceptions sont-elles autorisées ?

Politique de correctifs avec les délais par criticité ; rapport de conformité du parc ; échantillon de dix postes et cinq serveurs avec la version installée comparée à la dernière version publiée ; liste des systèmes hors support ; registre des exceptions avec leur approbation et leur échéance.

Quel délai sépare la publication d'un correctif logiciel de son déploiement, et quels logiciels du parc ne sont plus corrigés par leur éditeur ?

Rapport de l'outil de gestion des correctifs applicatifs ; délai moyen entre publication et déploiement sur trois mois ; liste des logiciels sans correctif disponible ou dont la version n'est plus suivie.

Quelle proportion des actifs de l'inventaire porte un propriétaire nommé, et que fait-on des actifs qui n'en ont pas ?

Extraction de l'inventaire avec la colonne propriétaire ; taux de complétion ; liste des actifs sans propriétaire et procédure de traitement de ces cas.

Quelle procédure s'applique à un matériel en fin de vie, comment l'effacement des données est-il attesté, et où est la trace des derniers décommissionnements ?

Procédure de décommissionnement ; échantillon de cinq sorties récentes avec le certificat d'effacement ou de destruction, la trace de retrait des accès et la mise à jour de l'inventaire.

Quels indicateurs de capacité sont suivis, quels seuils déclenchent une action, et quel incident de saturation est survenu sur la dernière période ?

Tableau de bord de capacité et indicateurs suivis ; seuils d'alerte configurés ; historique des alertes de capacité sur douze mois ; dossier du dernier incident de saturation.

Quel référentiel porte le cycle de vie des actifs, et quelles étapes y sont réellement enregistrées pour un actif pris au hasard ?

Référentiel de gestion des actifs ; étapes du cycle de vie enregistrées ; parcours complet d'un actif tiré au sort, de sa réception à son état actuel.

Quand le rapprochement entre licences détenues et logiciels installés a-t-il eu lieu, et quel écart a-t-il révélé ?

Registre des licences détenues ; inventaire des installations ; rapprochement des deux et écarts constatés ; preuves de régularisation.

Comment l'inventaire logiciel est-il alimenté, à quelle fréquence, et quelle est sa couverture estimée du parc réel ?

Configuration de l'outil de découverte logicielle ; fréquence d'exécution ; extraction de l'inventaire ; estimation de couverture par rapprochement avec l'inventaire matériel.

Comment l'inventaire matériel est-il tenu, et que se passe-t-il lorsqu'un équipement inconnu apparaît sur le réseau ?

Extraction de l'inventaire matériel ; mécanisme de détection des équipements inconnus sur le réseau ; journal des détections sur trois mois ; connexion d'un équipement de test et observation de la détection.

Quels environnements sont couverts par l'inventaire des systèmes, lesquels ne le sont pas, et sur quel critère la criticité est-elle établie ?

Inventaire des systèmes par environnement, y compris infonuagique et conteneurs ; critère de criticité appliqué ; environnements non couverts par l'inventaire.

Comment les opérations de maintenance logicielle sont-elles planifiées et testées, et quel plan de retour arrière existe en cas d'échec ?

Calendrier de maintenance logicielle ; dossiers de trois interventions récentes avec test préalable, fenêtre et plan de retour arrière ; trace d'un retour arrière effectivement exécuté si le cas s'est présenté.

Qui supervise les opérations de maintenance, comment les interventions d'un prestataire sont-elles encadrées, et où en est la trace ?

Plan de maintenance ; approbations des interventions ; journal des opérations réalisées ; convention encadrant l'intervention d'un prestataire et trace de la supervision d'une intervention récente.

Comment la restitution du matériel est-elle vérifiée lors d'un départ, et combien d'équipements non restitués figurent aujourd'hui à l'inventaire ?

Procédure de départ incluant la restitution ; échantillon de cinq départs récents avec le bordereau de restitution ; extraction des équipements de l'inventaire encore affectés à des personnes parties.

Le plan de câblage permet-il d'identifier à quoi correspond un port donné, et qui a accès physiquement aux points de brassage ?

Plan de câblage et repérage ; visite d'un local technique pour vérifier la correspondance entre le plan et le brassage réel ; liste des personnes ayant accès aux points de brassage.

Où cette interdiction est-elle écrite, comment est-elle portée à la connaissance du personnel, et quelles suites un manquement entraîne-t-il ?

Politique interdisant la copie illégale ; preuve de diffusion et d'accusé de réception ; suites prévues en cas de manquement ; cas traités s'il y en a eu.

Quelle politique d'usage est en vigueur, quand a-t-elle été révisée, et quelle proportion du personnel en a accusé réception ?

Politique d'usage acceptable avec sa date de révision ; registre des acceptations ; taux de couverture du personnel ; traitement des non-réponses.

Quelles protections environnementales couvrent les locaux techniques, comment leur bon fonctionnement est-il surveillé, et quand ont-elles été testées ?

Visite des locaux techniques ; dispositifs de climatisation, détection d'eau, détection et extinction d'incendie, alimentation sans interruption ; relevés de supervision ; rapports des derniers tests et de la dernière maintenance.

Quels matériels arriveront en fin de support dans les douze prochains mois, et quel plan de remplacement est arrêté pour eux ?

Liste des matériels avec leur date de fin de support ; horizon des douze prochains mois ; plan de remplacement daté et budget associé ; validation par la direction.

Quelle configuration de référence s'applique aux équipements de sécurité, sur quel guide de durcissement est-elle fondée, et comment les écarts sont-ils détectés ?

Configuration de référence des équipements de sécurité et guide de durcissement dont elle dérive ; extraction de la configuration réelle de trois équipements ; rapport d'écart et preuves de correction.

Quel standard de configuration s'applique aux équipements réseau, et un équipement pris au hasard s'y conforme-t-il aujourd'hui ?

Standard de configuration réseau ; extraction de la configuration de cinq équipements tirés au sort ; recherche des services inutiles actifs, des secrets par défaut et de l'accès d'administration ; configuration de la journalisation.

Quels standards de configuration logicielle sont définis, et comment leur application est-elle vérifiée après installation ?

Standards de configuration logicielle par produit ; procédure de vérification après installation ; rapport de conformité ; échantillon de trois installations récentes.

Un utilisateur ou un administrateur local peut-il désactiver le logiciel de sécurité de son poste, et l'organisation s'en apercevrait-elle ?

Configuration de la solution de sécurité : modules actifs, mise à jour des signatures, remontée d'alertes ; protection contre la désactivation locale ; tentative de désactivation depuis un compte administrateur local et alerte produite.

Quel durcissement est appliqué aux services d'infrastructure, quels protocoles hérités y restent actifs, et pourquoi ?

Standard de durcissement de l'annuaire, du DNS et du LDAP ; extraction des délégations et des droits hérités ; liste des protocoles hérités actifs avec leur justification ; rapport d'un outil d'analyse de l'annuaire.

Depuis quelle image de référence les systèmes sont-ils déployés, et quand la conformité du parc à cette référence a-t-elle été mesurée ?

Image ou modèle de déploiement de référence ; rapport de conformité du parc à cette référence ; échantillon de cinq systèmes vérifiés ; date de la dernière mesure de conformité.

Quelle est la fréquence et la couverture des balayages, sont-ils authentifiés, et quelle part du parc échappe encore à la mesure ?

Configuration de l'outil de balayage : périmètre, fréquence, authentification des balayages ; rapports des trois dernières exécutions ; rapprochement du périmètre balayé avec l'inventaire des actifs pour établir la couverture réelle.

Sur quels critères la priorisation est-elle faite, quels délais de correction sont fixés par niveau, et quel est le délai réellement constaté ?

Méthode de priorisation écrite et critères retenus ; délais de correction par niveau ; extraction des vulnérabilités ouvertes avec leur âge ; délai réel constaté par niveau sur trois mois.

Quel délai s'applique à une vulnérabilité critique activement exploitée, et quel a été le délai réel sur le dernier cas rencontré ?

Procédure d'urgence distincte du cycle normal ; dossier du dernier traitement d'une vulnérabilité critique activement exploitée, avec l'horodatage des étapes ; délai réel comparé au délai cible.

Comment la correction effective d'une vulnérabilité est-elle vérifiée, et quelle est la tendance de la dette de vulnérabilités sur douze mois ?

Rapports successifs de vulnérabilités sur douze mois montrant la tendance ; procédure de vérification de la correction ; balayage de contrôle sur un échantillon de vulnérabilités déclarées corrigées.

Quelles vulnérabilités sont aujourd'hui couvertes par une protection compensatoire plutôt que corrigées, et quel est le plan pour chacune ?

Liste des vulnérabilités couvertes par une mesure compensatoire ; nature de la mesure pour chacune ; règles de blocage effectivement en place ; plan et échéance de correction réelle.

Pour un type de donnée sensible, quelle durée de conservation est définie, et comment l'effacement au terme est-il réellement exécuté ?

Politique de cycle de vie des données ; durées de conservation par type ; mécanisme d'effacement au terme et trace de ses exécutions ; vérification sur un jeu de données arrivé à échéance.

Qui est propriétaire des principaux ensembles de données, et quelles décisions ce propriétaire a-t-il effectivement prises sur la dernière période ?

Registre des ensembles de données avec leur propriétaire ; décisions prises par ces propriétaires sur douze mois ; entretien avec deux d'entre eux sur les décisions dont ils se savent responsables.

Où est tenu l'inventaire des données, inclut-il les données confiées à des tiers, et quand a-t-il été actualisé ?

Inventaire des données avec classification et finalité ; couverture des données hébergées chez des tiers ; date de dernière actualisation et procédure de mise à jour.

Quelles obligations légales de rétention s'appliquent, comment sont-elles traduites techniquement, et qui vérifie leur respect ?

Recensement des obligations légales de rétention par type de donnée ; traduction technique de chacune ; configuration des mécanismes de conservation et de blocage d'effacement ; compte rendu du dernier contrôle.

Quel budget est alloué à la sécurité, sur quelle base a-t-il été arbitré, et quelle part a été effectivement consommée ?

Budget sécurité voté et sa base d'arbitrage ; suivi d'exécution à date ; dossier d'arbitrage rattachant les lignes aux risques ; entretien avec le responsable budgétaire.

Quelles clauses de sécurité figurent au contrat type, quel délai de notification d'incident y est stipulé, et quelle proportion des contrats en vigueur les porte ?

Contrat type et ses clauses de sécurité ; délai de notification d'incident stipulé ; échantillon de cinq contrats en vigueur avec des fournisseurs critiques ; part des contrats portant les clauses.

À qui les risques sont-ils communiqués, à quelle fréquence, et quelle décision la dernière communication a-t-elle produite ?

Supports de communication des risques par destinataire ; calendrier de diffusion ; compte rendu de la dernière communication et décision qui en est issue.

Quels fournisseurs de second rang sont connus, et pour quels services critiques l'organisation dépend-elle d'un fournisseur qu'elle ne contracte pas directement ?

Cartographie de la chaîne d'approvisionnement ; identification des fournisseurs de second rang pour les services critiques ; dépendances non contractées directement.

Quelles échelles et quels seuils d'acceptation sont définis, qui les a approuvés, et s'appliquent-ils uniformément à toutes les entités ?

Critères de risque approuvés : échelles, matrice, seuils d'acceptation ; preuve d'approbation ; vérification de leur application uniforme sur deux analyses de risque récentes issues d'entités différentes.

Où sont écrits les rôles et responsabilités sécurité, qui porte la décision d'acceptation d'un risque, et cette personne le sait-elle ?

Document décrivant les rôles et responsabilités sécurité ; nomination des titulaires ; entretien avec la personne désignée comme décidant de l'acceptation d'un risque, pour établir qu'elle le sait.

Quels indicateurs sont suivis, à quelle fréquence sont-ils présentés, et quelle décision le tableau de bord a-t-il provoquée récemment ?

Définition des indicateurs et leur source d'alimentation ; tableaux de bord des trois derniers cycles ; compte rendu de présentation et décision provoquée.

Quels fournisseurs ont été évalués sur la dernière période, selon quelle méthode, et qu'a-t-on fait des évaluations défavorables ?

Méthode d'évaluation des fournisseurs ; liste des fournisseurs évalués sur douze mois ; dossiers de trois évaluations dont une défavorable ; suite donnée à l'évaluation défavorable.

Quand les politiques ont-elles été approuvées et révisées pour la dernière fois, par qui, et comment leur diffusion est-elle attestée ?

Corpus des politiques avec dates d'approbation et de révision ; preuve d'approbation au bon niveau ; preuve de diffusion et accusés de réception ; calendrier de révision.

Combien de dérogations sont en vigueur, qui les a approuvées, et que se passe-t-il à leur échéance ?

Procédure de dérogation ; registre des dérogations en vigueur ; pour trois d'entre elles : motif, mesure compensatoire, approbateur distinct du demandeur, échéance ; traitement des dérogations échues.

Quelle méthode d'analyse des risques est employée, quand le registre a-t-il été réexaminé, et quel investissement une analyse a-t-elle déclenché ?

Méthode d'analyse des risques ; registre des risques avec dates de réexamen ; dossier d'une analyse récente ; décision d'investissement rattachée à une analyse.

Quelle est la feuille de route en vigueur, quel est son avancement réel par rapport au plan, et quand a-t-elle été révisée ?

Feuille de route pluriannuelle avec initiatives datées et budgétées ; état d'avancement réel comparé au plan ; compte rendu de la dernière révision.

Où est tenu le recensement des obligations, quand a-t-il été actualisé, et quelle obligation nouvelle y a été ajoutée en dernier ?

Registre des obligations légales, réglementaires et contractuelles ; rattachement de chaque obligation à des mesures ; date de dernière actualisation et dernière obligation ajoutée.

Quels systèmes sont classés critiques, sur quel critère, et qui en est responsable ?

Liste des systèmes critiques avec le critère de classement et le responsable désigné ; cartographie des dépendances ; entretien avec un responsable désigné.

Où est tenu le recensement des fournisseurs, comment leur criticité est-elle établie, et que se passe-t-il si un service est acheté hors de cette liste ?

Recensement des fournisseurs autorisés avec les services rendus et leur criticité ; critère de hiérarchisation ; procédure applicable à un achat hors liste et cas survenus.

Quels référentiels sont retenus, sur quel périmètre, et quel est l'écart mesuré aujourd'hui ?

Référentiels retenus et périmètre d'application déclaré ; dernière mesure d'écart avec sa méthode ; plan de réduction de l'écart.

Quels cumuls de fonctions ont été identifiés comme incompatibles, lesquels subsistent, et quelle mesure compensatoire les couvre ?

Matrice des incompatibilités de fonctions ; extraction des droits pour rechercher les cumuls interdits ; liste des cumuls subsistant avec leur mesure compensatoire ; trace d'exécution de cette mesure.

Comment l'authenticité d'un matériel ou d'un logiciel acquis est-elle vérifiée à la réception, et quelle vérification a été faite sur le dernier achat significatif ?

Procédure de vérification à la réception ; dossier du dernier achat significatif avec les contrôles opérés ; preuves d'authenticité des logiciels acquis ; engagements de sécurité des fournisseurs.

Quels fichiers passent par l'analyse en bac à sable, combien de temps prend le verdict, et que devient un fichier dont l'analyse n'est pas concluante ?

Configuration de la solution d'analyse en bac à sable ; types de fichiers soumis ; délai moyen de verdict ; règle appliquée en cas de verdict non concluant ; soumission d'un échantillon de test.

Sur quelles sources de renseignement le blocage s'appuie-t-il, à quelle fréquence sont-elles actualisées, et comment un blocage à tort est-il levé ?

Sources de renseignement utilisées et fréquence d'actualisation ; règles de blocage en place ; journal des blocages sur trois mois ; procédure de levée d'un blocage injustifié.

Quels services sont désactivés par défaut sur un système standard, et comment vérifie-t-on qu'un service inutile n'a pas été réactivé ?

Liste des services autorisés par type de système ; extraction des services actifs sur cinq systèmes ; écart avec la référence ; mécanisme de détection d'un service réactivé.

Quel délai sépare l'installation d'un logiciel non autorisé de sa détection, et qu'advient-il ensuite du poste concerné ?

Configuration de la détection de logiciels non autorisés ; délai entre installation et détection ; journal des détections sur trois mois ; installation d'un logiciel de test et mesure du délai réel ; suite donnée au poste concerné.

Un utilisateur standard peut-il installer un logiciel sur son poste, et comment un besoin légitime est-il satisfait sans lui accorder de droits permanents ?

Droits d'un compte utilisateur standard ; tentative d'installation d'un logiciel depuis un tel compte ; catalogue en libre-service ou circuit de demande ; extraction des utilisateurs disposant de droits d'administration locale.

Que se passe-t-il lorsqu'une clé USB inconnue est connectée à un poste, et combien d'exceptions permanentes existent aujourd'hui ?

Politique de contrôle des supports amovibles ; connexion d'une clé inconnue sur un poste de test et comportement observé ; registre des exceptions permanentes ; journal des connexions bloquées.

À quelle étape de la mise en service les secrets par défaut sont-ils changés, et comment s'assure-t-on qu'aucun ne subsiste dans le parc existant ?

Procédure de mise en service incluant le changement des secrets par défaut ; liste de contrôle signée pour trois mises en service récentes ; balayage à la recherche de secrets par défaut sur le parc existant.

Depuis quels systèmes la navigation Internet est-elle possible, et un serveur de production peut-il aujourd'hui atteindre un site web arbitraire ?

Règles de filtrage sortant par catégorie de système ; test d'accès à un site arbitraire depuis un serveur de production et depuis une station d'administration ; journal des tentatives.

Un exécutable placé sur une clé USB peut-il être lancé depuis un poste du parc, et quel réglage l'empêche ?

Réglage de stratégie empêchant l'exécution depuis un support amovible ; test de lancement d'un exécutable placé sur une clé ; rapport de conformité du réglage sur le parc.

Quelles protections mémoire et anti-injection sont actives sur les systèmes, et sur quelle proportion du parc ?

Protections mémoire actives (prévention d'exécution, aléa d'adressage, protection anti-injection) ; rapport de couverture sur le parc ; configuration de l'agent de sécurité pour la protection des processus.

Le dispositif de prévention réseau est-il en mode bloquant ou en observation, quand ses règles ont-elles été actualisées, et quelle attaque a-t-il bloquée récemment ?

Mode de fonctionnement du dispositif réseau, bloquant ou observation ; date de mise à jour des règles ; journal des blocages sur trois mois ; test avec une signature d'attaque connue.

Sur quels systèmes un dispositif de prévention est-il installé, et un attaquant disposant de droits locaux pourrait-il le désactiver sans que cela se voie ?

Systèmes couverts par le dispositif sur l'hôte ; mode bloquant ; protection contre l'arrêt du service depuis un compte administrateur local ; tentative d'arrêt et alerte produite.

Quelle est la couverture réelle de la protection anti-maliciels sur le parc, combien de systèmes ne l'ont pas, et pourquoi ?

Console de la solution anti-maliciels : parc couvert, agents actifs, signatures à jour ; rapprochement avec l'inventaire des systèmes pour établir les zones d'ombre ; justification des systèmes non couverts.

Quel mécanisme de liste d'autorisation d'exécution est en place, sur quels systèmes, et est-il en mode bloquant ?

Configuration de la liste d'autorisation d'exécution ; systèmes couverts ; mode bloquant ou audit ; tentative d'exécution d'un binaire non listé ; journal des refus.

Le démarrage sécurisé est-il actif sur le parc, et comment une mise à jour de micrologiciel est-elle authentifiée avant application ?

État du démarrage sécurisé sur un échantillon de dix systèmes ; procédure de mise à jour du micrologiciel et son authentification ; version du micrologiciel comparée à celle publiée par le constructeur.

Quels fichiers sont sous surveillance d'intégrité, quel volume d'alertes cela produit-il, et qui les traite ?

Liste des fichiers et répertoires sous surveillance d'intégrité ; configuration de l'outil ; volume d'alertes produites sur trois mois ; nom du responsable de leur traitement et trace du traitement.

Qui peut lire, modifier ou effacer les journaux d'un système, et un administrateur de ce système en fait-il partie ?

Droits de lecture, modification et suppression sur les journaux locaux et sur le dépôt central ; appartenance des administrateurs système à ces droits ; tentative de suppression d'une entrée depuis un compte administrateur local.

Quelle protection empêche le chargement d'une bibliothèque non autorisée par un processus légitime, et sur quels systèmes est-elle active ?

Réglages empêchant le chargement de bibliothèques non signées ou hors répertoires autorisés ; systèmes couverts ; journal des refus de chargement.

Quel code mobile est autorisé à s'exécuter, comment sa signature est-elle vérifiée, et où sont conservées les clés de signature ?

Politique d'exécution du code mobile ; mécanisme de vérification de signature ; emplacement et protection des clés de signature ; procédure de révocation.

Quel délai sépare la détection d'un logiciel non autorisé de sa suppression effective, et combien de cas restent ouverts aujourd'hui ?

Registre des détections de logiciels non autorisés avec la date de détection et la date de suppression ; délai constaté ; cas encore ouverts et leur ancienneté.

Quels tests sont conduits sur un matériel avant sa mise en service, qui les supervise, et où en est la trace ?

Protocole de test avant déploiement ; comptes rendus de trois tests récents avec le nom du superviseur ; décision de mise en service consécutive.

Comment l'intégrité d'un matériel est-elle vérifiée à la réception, et qu'a-t-on fait du dernier écart constaté ?

Procédure de vérification à la réception ; bordereaux de trois réceptions récentes ; contrôle des scellés et de la provenance ; dossier du dernier écart constaté et suite donnée.

Quels types de pièces jointes sont bloqués, le contrôle porte-t-il sur le contenu ou sur l'extension, et comment une exception est-elle accordée ?

Politique de filtrage des pièces jointes de la passerelle ; liste des types bloqués et méthode de reconnaissance ; envoi d'un fichier exécutable renommé en extension anodine ; registre des exceptions accordées.

Quelle est la politique DMARC publiée par le domaine, et qu'advient-il d'un courriel entrant dont SPF ou DKIM échoue ?

Enregistrements DNS SPF, DKIM et DMARC du domaine ; politique DMARC publiée ; rapports agrégés DMARC des trois derniers mois ; configuration de la vérification des courriels entrants et sort réservé aux échecs.

Quelle protection s'applique aux liens et pièces jointes de la messagerie, et l'analyse a-t-elle lieu à la réception seulement ou aussi au moment du clic ?

Configuration de la solution de protection de la messagerie ; modules actifs pour les liens et les pièces jointes ; statistiques de détection sur trois mois ; test d'un lien piégé avec réécriture au clic.

Quelles bases portent des données sensibles chiffrées au repos, où sont conservées les clés, et l'administrateur de la base peut-il y accéder ?

Liste des bases portant des données sensibles avec l'état du chiffrement au repos ; emplacement et gestion des clés ; droits d'accès aux clés comparés aux droits d'administration de la base.

Les volumes persistants des conteneurs sont-ils chiffrés, et une image de conteneur contient-elle aujourd'hui des données ou des secrets en clair ?

Configuration de chiffrement des volumes persistants ; analyse d'une image de conteneur à la recherche de secrets ou de données en clair ; politique de construction des images.

Quelle proportion du parc utilisateur a le chiffrement réellement activé, comment cela est-il vérifié, et où sont les clés de recouvrement ?

Rapport de conformité du chiffrement intégral sur le parc utilisateur ; taux d'activation réel ; emplacement et accès aux clés de recouvrement ; vérification sur cinq postes.

Quels supports amovibles sont autorisés, sont-ils chiffrés d'office, et que se passe-t-il si un support non chiffré est utilisé ?

Politique sur les supports amovibles ; mécanisme de chiffrement imposé ; test d'écriture d'un fichier sensible sur un support non chiffré ; journal des refus.

Quels protocoles et versions sont acceptés par les services exposés, et reste-t-il un flux interne portant des données sensibles en clair ?

Balayage des services exposés pour relever protocoles et versions acceptés ; configuration TLS des services internes portant des données sensibles ; capture de trafic sur un flux interne.

Quel schéma de classification est en vigueur, quelle proportion des données détenues est effectivement classée, et qui décide de la classification ?

Schéma de classification ; part des données classées dans l'inventaire ; procédure de classification et personne qui décide ; échantillon de cinq ensembles de données avec leur niveau.

Comment une modification de donnée sensible est-elle autorisée et tracée, et peut-on aujourd'hui dire qui a modifié quoi et quand ?

Mécanisme d'autorisation des modifications ; journalisation des modifications avec auteur et horodatage ; reconstitution de l'historique d'un enregistrement sensible ; capacité de retour à un état antérieur.

Quelle méthode de destruction s'applique par type de support, qui l'exécute, et où sont les preuves des dernières destructions ?

Procédure de destruction par type de support ; prestataire éventuel et son engagement ; certificats des cinq dernières destructions ; rapprochement avec l'inventaire des supports sortis.

Quelles sources de données sont reconnues légitimes pour les traitements sensibles, et comment une donnée d'origine inconnue est-elle traitée ?

Liste des sources de données reconnues légitimes pour les traitements sensibles ; mécanisme de reconnaissance ; traitement appliqué à une donnée d'origine inconnue.

Quels partages réseau existent aujourd'hui, lesquels sont accessibles à tous les utilisateurs, et quand cela a-t-il été vérifié ?

Extraction des partages réseau existants avec leurs permissions ; partages ouverts à tous les utilisateurs ; date du dernier contrôle ; service de partage encadré proposé en remplacement.

Quel marquage est appliqué aux documents et données, est-il posé automatiquement ou manuellement, et quels outils s'en servent ?

Mécanisme de marquage et son mode de pose, automatique ou manuel ; taux de documents marqués ; outils exploitant le marquage pour appliquer une règle.

Quels canaux de sortie sont surveillés, sur quelles règles, et quel a été le dernier événement détecté et son traitement ?

Canaux surveillés par la solution de prévention des fuites ; règles fondées sur la classification ; journal des détections sur trois mois ; dossier du dernier événement et son traitement ; test d'envoi d'un contenu marqué.

Sur quels canaux le blocage est-il actif plutôt que la simple alerte, et comment un envoi légitime bloqué à tort est-il débloqué ?

Canaux en mode bloquant par opposition à ceux en simple alerte ; test d'envoi bloqué ; procédure de déblocage d'un envoi légitime et délai constaté.

Qui peut accéder aux sauvegardes, ces droits sont-ils distincts de ceux de la production, et les sauvegardes sont-elles chiffrées ?

Droits d'accès au dépôt de sauvegarde ; comparaison avec les droits d'administration de la production ; état du chiffrement des sauvegardes ; gestion des clés.

Sur combien de supports distincts les données critiques existent-elles, et ces supports partagent-ils un point de défaillance commun ?

Cartographie des copies par jeu de données critique ; supports et emplacements ; analyse des points de défaillance communs entre les copies.

Où la copie hors système est-elle déposée, un administrateur de la production peut-il l'effacer, et à quelle fréquence est-elle produite ?

Configuration de la sauvegarde hors système ; emplacement de dépôt ; droits d'un administrateur de production sur ce dépôt ; tentative de suppression depuis un tel compte ; fréquence réelle constatée dans les journaux.

Quelle est la répartition des copies par support et par site, et laquelle est hors ligne ou non réinscriptible ?

Stratégie de sauvegarde : supports, sites, rotation ; identification de la copie hors ligne ou non réinscriptible ; vérification physique ou logique de son existence.

Par quels moyens approuvés une donnée sensible peut-elle sortir de l'organisation, et comment le destinataire est-il vérifié ?

Liste des moyens de transfert approuvés ; mécanisme de vérification du destinataire ; journal des transferts sur trois mois ; test d'un transfert par un moyen non approuvé.

Sur quelles données une vérification d'intégrité est-elle effectuée, à quelle fréquence, et qu'a révélé la dernière vérification ?

Données couvertes par une vérification d'intégrité ; mécanisme employé, empreinte ou signature ; fréquence des vérifications ; rapport de la dernière exécution ; test sur une donnée volontairement altérée.

Quand une restauration a-t-elle été testée pour la dernière fois, sur quel périmètre, et combien de temps a-t-elle pris ?

Procédure de test de restauration ; compte rendu du dernier test avec périmètre, date et durée mesurée ; comparaison avec l'objectif de temps de reprise ; preuve de vérification d'intégrité préalable.

Quelle procédure de reprise a été appliquée en dernier, dans quel délai le service a-t-il été rétabli, et quel écart au plan a-t-on constaté ?

Dossier du dernier incident avec reprise : procédure appliquée, horodatage du rétablissement, écarts au plan constatés et corrections apportées ensuite.

Qui communique pendant un incident, à quelle fréquence, et sur quels canaux préparés à l'avance ?

Plan de communication de crise ; porte-parole désigné ; canaux préparés à l'avance ; messages types ; trace des communications émises lors du dernier incident.

Où les incidents sont-ils enregistrés, quels champs sont obligatoires, et combien d'incidents ont été enregistrés sur la dernière période ?

Registre des incidents et champs obligatoires ; nombre d'incidents enregistrés sur douze mois ; complétude de cinq fiches tirées au sort ; analyses de tendance produites à partir du registre.

Pour quelles fonctions une procédure de reprise existe-t-elle, quels objectifs de temps et de perte y sont inscrits, et sur quelle base ?

Procédures de reprise par fonction critique ; objectifs de temps de reprise et de perte de données inscrits ; base ayant servi à les fixer ; responsables désignés.

Dans quel ordre les services seraient-ils rétablis, d'où vient cet ordre, et les équipes techniques le connaissent-elles ?

Ordre de reprise issu du bilan d'impact ; document le portant ; entretien avec deux techniciens d'exploitation pour établir qu'ils connaissent cet ordre.

Comment l'intégrité d'une sauvegarde est-elle vérifiée avant restauration, et comment s'assure-t-on qu'elle est antérieure à la compromission ?

Procédure de vérification d'intégrité avant restauration ; mécanisme de datation des sauvegardes permettant de choisir un point antérieur à la compromission ; compte rendu d'une restauration réelle ou testée.

Quelles descriptions de poste portent des responsabilités sécurité explicites, et ces responsabilités sont-elles évaluées ?

Descriptions de poste des fonctions techniques et d'encadrement ; clauses de responsabilité sécurité ; grille d'évaluation annuelle montrant que ces responsabilités y figurent.

Quelle proportion du personnel a signé la version en vigueur de la politique d'usage, et que fait-on des refus ou des non-réponses ?

Version en vigueur de la politique d'usage ; registre des signatures ; taux de couverture du personnel ; procédure applicable en cas de refus ou de non-réponse.

Pour quels postes une vérification d'antécédents est-elle exigée, quel est son contenu, et intervient-elle avant l'octroi des accès ?

Politique de vérification des antécédents et postes concernés ; contenu de la vérification ; dossiers de trois embauches récentes sur postes sensibles montrant l'antériorité de la vérification sur l'octroi des accès.

Selon quel schéma les événements sont-ils catégorisés, en combien de temps, et quelle proportion est requalifiée après analyse plus poussée ?

Schéma de catégorisation des événements ; délai cible de qualification ; extraction de dix événements récents avec leur catégorie initiale et finale ; taux de requalification.

Quelle procédure a été appliquée lors du dernier incident, a-t-elle été suivie telle qu'écrite, et qu'y a-t-on changé depuis ?

Procédure appliquée lors du dernier incident ; journal de bord de l'incident comparé aux étapes prévues ; écarts relevés ; version révisée de la procédure et date de révision.

Quels critères déclenchent une communication externe, dans quel délai, et qui décide de la déclencher ?

Critères et délais de communication externe ; matrice des destinataires ; personne habilitée à déclencher ; trace des communications émises lors des derniers incidents.

Quelles actions de confinement sont préparées, qui a le pouvoir de les déclencher, et en combien de temps un système peut-il être isolé du réseau ?

Catalogue des actions de confinement préparées ; personnes habilitées à les déclencher ; moyens techniques d'isolement d'un système et d'un compte ; mesure du temps nécessaire lors d'un test.

Comment l'impact financier d'un incident est-il estimé, et quel a été le coût du dernier incident significatif ?

Méthode d'estimation de l'impact ; dossier du dernier incident significatif avec le chiffrage technique et financier ; usage fait de cette estimation.

Quels critères déclenchent une escalade, vers qui, et l'escalade fonctionne-t-elle en dehors des heures ouvrables ?

Critères d'escalade et niveaux destinataires ; annuaire d'astreinte ; test d'appel hors heures ouvrables ou trace d'une escalade nocturne réelle.

Qui compose la cellule de crise, quand un exercice a-t-il été conduit pour la dernière fois, et quel enseignement en a été tiré ?

Composition de la cellule de crise et suppléances ; compte rendu du dernier exercice avec sa date ; enseignements et actions décidées ; état de ces actions.

Quels tiers peuvent être mobilisés en cas d'incident majeur, sous quel contrat, et quel délai d'intervention est garanti ?

Contrats ou conventions avec les tiers d'intervention ; délais d'intervention garantis ; coordonnées d'activation ; trace d'une mobilisation réelle ou d'un test d'activation.

Quelle procédure encadre la collecte des preuves, comment leur intégrité est-elle attestée, et qui a accès aux éléments collectés ?

Procédure de collecte et de conservation des preuves ; formulaire de chaîne de possession ; mécanisme d'assurance d'intégrité des éléments collectés ; droits d'accès au coffre de preuves.

Quel retour d'expérience a suivi le dernier incident, quelles actions en sont issues, et où en sont-elles ?

Compte rendu du retour d'expérience du dernier incident ; liste des actions décidées avec responsable et échéance ; état d'avancement à date.

Pour quels scénarios d'incident une procédure existe-t-elle, quand ont-elles été révisées, et lesquelles n'ont jamais été employées ?

Catalogue des procédures de réaction par scénario ; dates de rédaction et de révision ; procédures jamais employées ; couverture des scénarios les plus probables issus de l'analyse de risque.

Comment vérifie-t-on que la menace a bien été éradiquée avant la remise en service, et quel critère autorise ce retour ?

Critère autorisant le retour au service normal ; dossier du dernier incident montrant la vérification d'éradication opérée ; recherche de persistance résiduelle effectuée.

Quel volume d'événements est trié par période, quelle proportion reste non traitée, et quel est le délai moyen de prise en charge ?

Volume d'événements reçus et triés par période ; file d'attente non traitée ; délai moyen de prise en charge ; extraction de dix événements avec leur horodatage de réception et de prise en charge.

Quand le bilan d'impact a-t-il été produit ou révisé, qui l'a validé côté métier, et quels délais tolérables y sont inscrits ?

Bilan d'impact sur les affaires avec sa date ; processus essentiels recensés et leurs délais d'interruption tolérables ; preuve de validation par les responsables métier ; cartographie des dépendances.

Quels tiers critiques ont participé à un exercice de continuité, et quels engagements de reprise ont été vérifiés ?

Liste des tiers critiques ; comptes rendus des exercices auxquels ils ont participé ; engagements de reprise contractuels et vérification de leur tenue lors de l'exercice.

Quand le plan de continuité a-t-il été testé, quel type d'exercice était-ce, et quels écarts le test a-t-il révélés ?

Plan de continuité avec sa date de révision ; compte rendu du dernier exercice avec son type, sur table ou réel ; écarts relevés et actions correctives.

Quel a été le temps de bascule mesuré au dernier test de relève, et comment se compare-t-il à l'objectif fixé ?

Plan de relève technique ; compte rendu du dernier test avec le temps de bascule mesuré et la perte de données constatée ; comparaison aux objectifs fixés.

Quels points de défaillance unique subsistent sur les systèmes critiques, et quand la bascule a-t-elle été testée pour la dernière fois ?

Architecture des systèmes critiques ; analyse des points de défaillance unique ; configuration des mécanismes de bascule ; compte rendu du dernier test de bascule avec sa date.

Quelles sources d'alerte sont centralisées, lesquelles ne le sont pas, et qui surveille le point de centralisation, à quelles heures ?

Liste des sources d'alerte raccordées au point central ; sources non raccordées et motif ; organisation de la surveillance et plages horaires couvertes ; nom de l'équipe ou du prestataire.

Quelles sources alimentent le dépôt central, et lesquelles n'y sont pas ? Un administrateur local peut-il effacer ce qui a déjà été transmis ? Comment s'aperçoit-on qu'une source a cessé d'émettre ?

Configuration du collecteur et liste des sources déclarées ; rapprochement avec l'inventaire des systèmes pour établir les sources absentes ; entrées de la piste d'audit sur trente jours pour dix systèmes tirés au sort ; droits d'un compte administrateur local sur le dépôt central ; tentative de suppression d'une entrée déjà transmise ; alerte produite par l'arrêt d'une source ; paramètre de rétention et synchronisation d'horloge.

Quel délai de notification d'incident est stipulé au contrat, a-t-il déjà été mis à l'épreuve, et le fournisseur l'a-t-il respecté ?

Clause contractuelle de notification et délai stipulé ; historique des notifications reçues du fournisseur ; comparaison entre le délai réel et le délai contractuel sur un cas survenu.

Quels contrôles s'appliquent aux traitements de données sensibles, et un accès anormal par son volume ou son horaire serait-il détecté ?

Contrôles appliqués aux traitements de données sensibles ; règles de détection des usages atypiques par volume ou par horaire ; journal des alertes produites ; test d'extraction volumineuse sur un environnement de test.

Quelles règles de corrélation sont en place, entre quelles sources, et quel incident la corrélation a-t-elle permis de révéler ?

Liste des règles de corrélation actives et sources croisées ; dossier d'un incident révélé par corrélation ; procédure de création et de test d'une règle.

Quand une recherche proactive a-t-elle été conduite, sur quelles hypothèses, et qu'a-t-elle trouvé ?

Comptes rendus des campagnes de recherche proactive ; hypothèses de menace retenues et leur source ; constats produits et suites données.

Quels canaux de communication détournés sont détectables aujourd'hui, et la détection couvre-t-elle l'exfiltration par des protocoles légitimes ?

Règles de détection des canaux détournés, y compris exfiltration par DNS et tunnels sur protocoles légitimes ; journal des détections ; test d'exfiltration simulée sur un environnement de test.

Comment une corruption de données serait-elle détectée, en combien de temps, et un cas s'est-il déjà produit ?

Mécanismes de détection de corruption : vérification d'intégrité, contrôles de cohérence ; fréquence d'exécution ; journal des détections et dossier d'un cas survenu.

Quels segments sont couverts par la détection réseau, quel volume d'alertes cela produit-il, et qui les traite ?

Segments couverts par la détection réseau ; points de collecte ; volume d'alertes par période ; équipe chargée du traitement et délai de prise en charge.

Sur quels systèmes la détection sur l'hôte est-elle déployée, et ses alertes remontent-elles au point central ?

Systèmes couverts par la détection sur l'hôte ; configuration de la remontée vers le point central ; vérification sur cinq systèmes que les alertes locales parviennent bien au collecteur.

Quels dispositifs détectent une intrusion physique, à qui l'alerte parvient-elle la nuit et le week-end, et quel est le délai d'intervention ?

Dispositifs de détection d'intrusion physique par zone ; destinataire de l'alerte selon l'heure ; convention de télésurveillance ; test de déclenchement et mesure du délai d'intervention.

Comment les installations sans licence sont-elles détectées, combien le dernier rapprochement en a-t-il révélé, et qu'en a-t-on fait ?

Rapprochement entre l'inventaire des installations et le registre des licences ; écarts du dernier rapprochement ; preuves de régularisation ou de désinstallation.

Combien de temps s'écoule entre l'apparition d'un système inconnu sur le réseau et sa déconnexion, et l'action est-elle automatique ?

Mécanisme de détection des systèmes inconnus ; caractère automatique ou manuel de la déconnexion ; journal des détections avec l'horodatage de détection et de déconnexion ; branchement d'un équipement de test.

Combien de systèmes non soutenus sont en service aujourd'hui, quelles mesures compensatoires les couvrent, et quand seront-ils remplacés ?

Extraction des systèmes dont la version n'est plus soutenue ; mesures compensatoires appliquées à chacun ; plan de remplacement daté et budgété.

La journalisation de création de processus est-elle active, capture-t-elle la ligne de commande et le processus parent, et sur quels systèmes ?

Configuration de la journalisation de création de processus ; vérification que la ligne de commande et le processus parent sont capturés ; systèmes couverts ; entrées de la piste d'audit sur cinq systèmes.

Quels logiciels non soutenus subsistent, depuis combien de temps, et quel plan de retrait existe pour eux ?

Liste des logiciels non soutenus détectés avec leur ancienneté ; mesures compensatoires ; plan et échéance de retrait ; trace des retraits déjà opérés.

Combien de cas d'usage de détection sont actifs, quand ont-ils été testés, et combien ont été retirés faute d'utilité ?

Catalogue des cas d'usage de détection avec leur menace de référence ; date du dernier test de chacun ; cas d'usage retirés et motif du retrait.

Que se passe-t-il si l'espace de stockage des journaux sature, et l'approche de la saturation déclenche-t-elle une alerte ?

Dimensionnement du stockage des journaux ; seuils d'alerte et destinataire ; comportement configuré en cas de saturation, rotation ou arrêt ; test de franchissement de seuil sur un environnement de test.

Sur quels flux l'inspection des sessions chiffrées est-elle pratiquée, quelles exclusions sont définies, et sur quelle base juridique ?

Flux soumis à l'inspection des sessions chiffrées ; liste des exclusions et leur motif ; base juridique et information des personnes ; configuration du dispositif.

Où est l'inventaire des sources de journaux, comment détecte-t-on qu'une source attendue n'émet plus, et combien manquent aujourd'hui ?

Inventaire des sources de journaux attendues ; mécanisme de détection d'une source silencieuse et son délai ; liste des sources actuellement absentes ; arrêt volontaire d'une source de test et alerte produite.

Peut-on établir aujourd'hui qui a accédé à une donnée sensible donnée le mois dernier, et en combien de temps ?

Configuration de la journalisation des accès aux données sensibles ; champs capturés ; requête de reconstitution des accès à une donnée sur le mois écoulé, avec mesure du temps de réponse.

Les actions des administrateurs sont-elles journalisées, ces journaux sont-ils hors de leur portée, et qui les revoit ?

Configuration de la journalisation des actions privilégiées ; droits des administrateurs sur ces journaux ; procédure et trace de la revue ; entrées de la piste d'audit pour cinq comptes privilégiés.

Sur quels systèmes les commandes sont-elles journalisées, avec quel niveau de détail, et pendant combien de temps sont-elles conservées ?

Systèmes journalisant les commandes ; niveau de détail capturé ; durée de rétention ; extraction des commandes passées sur un serveur sensible pour une journée donnée.

Quelle politique définit les événements à journaliser, est-elle appliquée uniformément, et quels systèmes s'en écartent ?

Politique de journalisation définissant les événements requis ; configuration réelle sur cinq systèmes de types différents ; écarts à la politique et justification.

Peut-on reconstituer l'historique des traitements subis par une donnée, et sur quelle profondeur ?

Configuration de la journalisation des traitements de données ; reconstitution de l'historique d'une donnée depuis sa création ; profondeur d'historique réellement disponible.

Quelles opérations exigent un double regard, ce contrôle est-il imposé techniquement, et une personne seule pourrait-elle les exécuter ?

Liste des opérations exigeant un double regard ; mécanisme technique imposant la seconde intervention ; test d'exécution par une personne seule ; entrées de la piste d'audit montrant les deux intervenants.

Quelle est la durée de rétention des journaux, sur quelle base a-t-elle été fixée, et permet-elle d'enquêter sur un incident découvert tardivement ?

Paramètre de rétention du dépôt de journaux ; base ayant servi à fixer la durée, légale ou opérationnelle ; vérification qu'une requête portant sur la période la plus ancienne renvoie bien des données ; protection en écriture sur la période conservée.

Qui revoit les journaux, à quelle fréquence, et où est consignée la dernière revue ?

Procédure de revue des journaux ; personne désignée et sa compétence ; comptes rendus des trois dernières revues, y compris celles sans constat ; date de la dernière.

Sur quelle source de temps les systèmes sont-ils synchronisés, et quel est l'écart maximal constaté sur le parc ?

Source de temps de référence et configuration de la synchronisation ; relevé de l'écart d'horloge sur dix systèmes de types différents ; alerte configurée en cas de dérive.

Quelles sources de veille sont suivies, par qui, et quelle décision la veille a-t-elle provoquée sur la dernière période ?

Sources de veille suivies et personne qui en a la charge ; comptes rendus de veille sur trois mois ; décision ou action de protection issue de la veille sur la dernière période.

Quels points de contrôle de sécurité jalonnent le processus de développement, et qu'advient-il d'une livraison qui n'en satisfait pas un ?

Description du processus de développement et de ses points de contrôle sécurité ; preuves de franchissement pour trois livraisons récentes ; comportement de la chaîne face à une livraison ne satisfaisant pas un point de contrôle.

Quelles applications exposées n'exigent pas encore de second facteur, et pour quelle raison ?

Inventaire des applications exposées avec l'état du second facteur ; liste des exceptions et leur motif ; test de connexion sur une application exposée.

Où est documentée l'architecture applicative, quand a-t-elle été mise à jour, et reflète-t-elle la version en production ?

Documentation d'architecture applicative avec sa date ; comparaison avec la version réellement en production ; procédure de mise à jour lors des évolutions.

Quels flux de données sortent de l'application, vers quels destinataires, et cette cartographie est-elle à jour ?

Cartographie des flux de données entrants et sortants ; destinataires externes identifiés ; protections appliquées par flux ; date de dernière mise à jour.

Quelle formation les développeurs ont-ils suivie dans les douze derniers mois, sur quelles technologies, et avec quel taux de participation ?

Programme de formation des développeurs ; technologies couvertes ; sessions tenues sur douze mois avec les feuilles de présence ; taux de participation.

Comment les accès concurrents sont-ils gérés, et un incident de cohérence de données est-il déjà survenu en production ?

Mécanisme de gestion des accès concurrents dans la conception ; niveau d'isolation des transactions ; registre des incidents de cohérence survenus en production.

Combien de temps faut-il pour établir si une bibliothèque vulnérable est utilisée par une application, et sur quelle source cette réponse s'appuie-t-elle ?

Nomenclature des composants logiciels et son mode de production ; test de recherche d'une bibliothèque donnée dans le parc applicatif, avec mesure du temps de réponse.

Qui approuve l'introduction d'un nouveau composant logiciel, sur quels critères, et combien de composants non approuvés sont en production ?

Liste des composants autorisés ; circuit d'approbation et critères ; comparaison entre les composants réellement en production et la liste autorisée.

Quels patrons sécurisés sont fournis aux développeurs, sont-ils utilisés, et qui les maintient ?

Bibliothèque de patrons sécurisés ; date de dernière mise à jour et responsable ; preuve d'utilisation dans des développements récents.

Quelles applications ont fait l'objet d'une modélisation des menaces, selon quelle méthode, et quelles mesures en sont issues ?

Liste des applications ayant fait l'objet d'une modélisation des menaces ; méthode employée ; dossier d'une modélisation récente ; mesures issues et état de leur mise en œuvre.

Quels délais de correction s'appliquent aux vulnérabilités applicatives par niveau, et quel est le délai réellement constaté ?

Délais de correction fixés par niveau ; extraction des vulnérabilités applicatives ouvertes avec leur âge ; délai réel constaté ; preuve de vérification après correction.

Comment l'intégrité d'un artefact est-elle garantie entre sa construction et son déploiement, et qui peut modifier le dépôt ?

Description de la chaîne de construction ; signature des artefacts et vérification au déploiement ; droits d'écriture sur le dépôt d'artefacts ; journal des publications.

Quels composants en production ne sont plus maintenus par leur éditeur, et quel plan de remplacement existe pour eux ?

Liste des composants en production avec leur état de maintenance chez l'éditeur ; composants non maintenus ; plan de remplacement daté.

À quel moment de la chaîne un composant non autorisé est-il détecté, et la construction échoue-t-elle alors ?

Point de la chaîne où le contrôle s'exécute ; comportement de la construction face à un composant non autorisé ; journal des échecs de construction pour ce motif.

Comment l'organisation apprend-elle qu'un composant qu'elle utilise est devenu vulnérable, et en combien de temps ?

Outil de veille sur les composants et sources consultées ; mécanisme d'alerte ; délai entre publication d'une vulnérabilité et alerte interne, mesuré sur un cas récent.

Comment l'intégrité d'un composant tiers est-elle vérifiée avant intégration, et que fait-on d'un composant sans signature ?

Mécanisme de vérification de signature ou d'empreinte à l'intégration ; dépôts sources autorisés ; comportement face à un composant non signé ; journal des rejets.

Quels outils d'analyse s'exécutent, à quelle étape, et quelle proportion de leurs constats a été traitée sur la dernière période ?

Configuration des outils d'analyse statique et dynamique ; étape d'exécution dans la chaîne ; rapports des dernières exécutions ; taux de constats traités sur la dernière période.

Quels accès distants existent aujourd'hui, lesquels n'exigent pas de second facteur, et les accès des prestataires en font-ils partie ?

Inventaire des moyens d'accès distant ; état du second facteur pour chacun ; comptes de prestataires et leur mode d'authentification ; test de connexion sans second facteur.

Quels protocoles en clair restent actifs sur le réseau, sur quels systèmes, et quel est le plan pour les retirer ?

Balayage des services internes et exposés relevant les protocoles en clair encore actifs ; capture de trafic sur un segment interne ; plan de retrait des protocoles obsolètes.

Quand la documentation réseau a-t-elle été mise à jour, et correspond-elle à la configuration réelle des équipements aujourd'hui ?

Documentation réseau avec sa date ; extraction de la configuration des équipements ; rapprochement entre le document et la configuration réelle ; écarts constatés.

Quelles protections d'isolation du navigateur sont actives sur le parc, et une politique en désactive-t-elle certaines ?

Stratégie de navigateur déployée ; état des protections d'isolation ; recherche d'une stratégie désactivant l'isolation ; version du navigateur sur le parc.

Sur quelles catégories la navigation est-elle filtrée, comment un blocage injustifié est-il levé, et les journaux permettent-ils de retrouver un accès passé ?

Catégories filtrées et source de renseignement ; journal de navigation sur trois mois montrant la possibilité de retrouver un accès passé ; procédure de levée d'un blocage ; test d'accès à un site d'une catégorie bloquée.

La politique de filtrage est-elle en refus par défaut, quand les règles ont-elles été revues, et combien de règles n'ont plus de justification connue ?

Politique de filtrage et vérification de la règle de refus par défaut en fin de liste ; extraction complète des règles ; échantillon de dix règles avec leur justification et leur demandeur ; date de la dernière revue ; règles sans justification connue.

Qui décide de l'ajout d'un site à la liste autorisée ou interdite, et à quelle fréquence cette liste est-elle revue ?

Listes autorisée et interdite ; propriétaire désigné ; circuit d'ajout ; date de la dernière revue et entrées retirées à cette occasion.

Un poste peut-il interroger un serveur DNS externe de son choix, et sur quelle source le blocage des domaines malveillants s'appuie-t-il ?

Configuration du service DNS filtrant et source de renseignement ; règle empêchant la résolution DNS directe vers l'extérieur ; test d'interrogation d'un DNS public depuis un poste ; journal des domaines bloqués.

Quelles extensions sont autorisées, un utilisateur peut-il en installer une autre, et l'inventaire des extensions installées est-il connu ?

Liste des extensions autorisées ; stratégie de blocage déployée ; inventaire des extensions réellement installées sur le parc ; tentative d'installation d'une extension hors liste.

Le filtrage applicatif est-il en mode bloquant ou en observation, et quand ses règles ont-elles été ajustées pour la dernière fois ?

Mode de fonctionnement du filtrage applicatif, bloquant ou observation ; date d'ajustement des règles par application ; journal des blocages ; envoi d'une requête d'attaque connue sur un environnement de test.

Quel est l'écart de version des équipements réseau par rapport aux versions publiées, et lesquels ne sont plus soutenus ?

Inventaire des équipements réseau avec leur version logicielle ; comparaison aux versions publiées par les constructeurs ; équipements hors support et plan de remplacement.

Que se passe-t-il si un équipement inconnu est branché sur une prise réseau d'un bureau, et les ports inutilisés sont-ils désactivés ?

Configuration des commutateurs : ports désactivés, authentification de port ; branchement d'un équipement de test sur une prise de bureau et comportement observé ; journal des refus.

À quelles ressources un utilisateur connecté au réseau privé virtuel a-t-il accès, et cet accès est-il restreint à ce dont il a besoin ?

Configuration du réseau privé virtuel ; comptes nominatifs et second facteur ; règles restreignant les ressources joignables une fois connecté ; journal des connexions sur trois mois.

Quelles protections couvrent la messagerie, comment un employé signale-t-il un message suspect, et combien de signalements ont été reçus ?

Configuration des protections de messagerie ; canal de signalement mis à disposition et son fonctionnement ; nombre de signalements reçus sur trois mois et suite donnée.

Où sont accessibles les procédures d'exploitation, quand ont-elles été revues, et couvrent-elles les opérations exceptionnelles ?

Corpus des procédures d'exploitation ; emplacement et droits d'accès ; dates de révision ; couverture des opérations exceptionnelles ; entretien avec un exploitant sur leur usage réel.

Qui a accès aux zones sensibles, quand cette liste a-t-elle été revue, et comment les visiteurs sont-ils encadrés ?

Liste des porteurs de badge par zone ; date de la dernière revue des accès physiques ; journal des entrées en zone sensible sur trois mois ; registre des visiteurs et règle d'accompagnement ; visite d'une zone sensible.

Quelle règle s'applique aux documents laissés sur les bureaux, comment est-elle vérifiée, et les impressions exigent-elles une identification à l'imprimante ?

Politique des bureaux propres ; comptes rendus des contrôles ponctuels réalisés ; tournée d'observation en fin de journée ; configuration de l'impression exigeant une identification au périphérique.

Quelles protections physiques couvrent les équipements en zone accessible, et combien de vols ou de disparitions ont été constatés ?

Visite des zones accessibles au public et des locaux techniques ; dispositifs de fixation et de fermeture ; registre des vols et disparitions constatés.