Audit documentaire et d'architecture de sécurité (HashiCorp Vault)
Un état des lieux traçable et argumenté, présentable à l'audit interne, à la direction et, si besoin, à l'ACPR.
En bref
- Résultat
- Un état des lieux traçable et argumenté, présentable à l'audit interne, à la direction et, si besoin, à l'ACPR.
- Idéal pour
- Responsable de la sécurité des systèmes d'information (RSSI), responsable du contrôle interne et du risque opérationnel ou auditeur interne bancaire.
- Ce que vous obtenez
- Rapport d'audit avec constats rattachés aux exigences applicables (DORA, normes retenues, référentiel interne) et plan d'actions priorisé.
- Prérequis de votre côté
- Accès aux politiques, cartographies, rapports d'incident et de tests existants, et entretiens avec les équipes sécurité, infrastructure et achats.
- Durée et charge
- 6 à 12 jours
- Format
- Forfait
Exemple de situation
Préparer un dossier pour l'ACPR. Un établissement de crédit régional prépare un échange avec son superviseur sur le thème HashiCorp Vault. L'audit, en neuf jours, relit les politiques, le registre des prestataires TIC (technologies de l'information et de la communication) et les rapports d'incident, et rattache chaque constat à une exigence. Le plan d'actions retenu est suivi par le comité des risques.
Nous examinons votre dispositif sous l'angle du thème HashiCorp Vault : gouvernance et rôles, cartographie des actifs et des prestataires, gestion des accès, journalisation, gestion des incidents, plans de continuité et de reprise, contrats avec les prestataires de services TIC. Les constats sont rapprochés des exigences du règlement (UE) 2022/2554 et de ses normes techniques, de la norme ISO/IEC 27001 si vous la suivez, et de votre propre référentiel.
Le travail est documentaire et d'architecture : lecture des pièces, entretiens, revue de configurations que vous nous montrez. Nous n'exécutons ni test d'intrusion ni audit qualifié, qui relèvent de prestataires qualifiés par l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Le rapport classe les écarts par criticité, propose des actions et sert de base à votre plan de remédiation, avec l'objectif de structurer vos pratiques sur ce thème. Il ne vaut pas avis de conformité : cette appréciation revient à votre établissement et au superviseur.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité, d'accès aux sites et aux données.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème HashiCorp Vault, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les équipes, et nous observons les pratiques sur le terrain lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre donneur d'ordre ou à l'autorité.
- Rapport d'audit avec constats rattachés au règlement (UE) 2022/2554, à ses normes techniques et à votre référentiel
- Revue du registre des prestataires TIC, des plans de continuité et de la gestion des incidents
- Plan d'actions priorisé présenté à la direction et à l'audit interne
Format et charge : forfait, 6 à 12 jours. Idéal pour : responsable de la sécurité des systèmes d'information (RSSI), responsable du contrôle interne et du risque opérationnel ou auditeur interne bancaire. Prérequis de votre côté : accès aux politiques, cartographies, rapports d'incident et de tests existants, et entretiens avec les équipes sécurité, infrastructure et achats.
Exemples d'usage
Deux situations d'exemple, dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Préparer un dossier pour l'ACPR
Un établissement de crédit régional prépare un échange avec son superviseur sur le thème HashiCorp Vault. L'audit, en neuf jours, relit les politiques, le registre des prestataires TIC et les rapports d'incident, et rattache chaque constat à une exigence. Le plan d'actions retenu est suivi par le comité des risques.
Comparer la sécurité de deux entités d'un groupe
Un groupe bancaire compare deux filiales de paiement sur le thème HashiCorp Vault. L'audit documentaire relève des pratiques différentes sur les comptes à privilèges et la journalisation, et propose un socle commun, mis en place filiale par filiale selon le calendrier du groupe et suivi par la direction des risques.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 6 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème HashiCorp Vault dans le secteur bancaire ou financier, indépendant de vos équipes, qui signe les engagements de confidentialité demandés et respecte le secret bancaire. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, mission de l'audit interne, contrôle d'une autorité ou audit de certification, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème HashiCorp Vault, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre audit interne ou à votre donneur d'ordre. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus le contrôle d'une autorité ou l'audit d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Réalisez-vous des tests d'intrusion ou des audits de sécurité qualifiés ?
Non. Les audits de la sécurité des systèmes d'information qualifiés par l'ANSSI relèvent de prestataires qualifiés PASSI (prestataire d'audit de la sécurité des systèmes d'information, qualifié par l'ANSSI), et Optédif n'a pas cette qualification : nous n'exécutons ni test d'intrusion ni audit qualifié. Sur le thème HashiCorp Vault, nous intervenons en amont et en aval : cadrage du périmètre et du cahier des charges, sélection du prestataire qualifié avec vous, lecture critique de son rapport, construction du plan de remédiation et suivi des actions. Nous précisons au devis ce qui se déroule sur site et ce qui se déroule à distance.
Demander un devis
Indiquez le site, les équipes concernées et l'échéance : nous vous répondons sous 48 h ouvrées, puis nous établissons le devis après un échange de cadrage.
Les autres types de prestation sur le thème HashiCorp Vault