Auditer votre sécurité peut-il créer un nouveau risque ?
Publié sur LinkedIn le 05 aout 2026
Lors d’un audit, l’entreprise transmet souvent beaucoup plus qu’elle ne le croit.
Politiques de sécurité.
Cartographies.
PRA et PCA.
Rapports d’incident.
Résultats de scans.
Schémas d’architecture.
Listes de vulnérabilités.
Contrats fournisseurs.
Preuves de conformité.
Parfois même des journaux ou des informations sur les comptes privilégiés.
Autrement dit, pour démontrer que votre système d’information est sécurisé, vous fournissez à un tiers une carte de vos forces… et de vos faiblesses.
Avant de choisir un auditeur, il faut donc auditer l’auditeur.
Mais sa sécurité, sa souveraineté et sa chaîne de sous-traitance le sont tout autant.
Où seront stockés les documents ?
Dans quel pays ?
Sous quelle juridiction ?
Qui pourra y accéder ?
Le stockage est-il chiffré ?
Les accès sont-ils nominatifs et protégés par une authentification forte ?
Les consultations et téléchargements sont-ils journalisés ?
L’auditeur utilise-t-il ses propres outils ou des services cloud tiers ?
Peut-il sous-traiter une partie de la mission ?
Que deviennent les preuves à la fin de l’audit ?
Comment leur suppression sera-t-elle démontrée ?
Une clause de confidentialité ne suffit pas.
Un NDA définit une obligation juridique. Il ne garantit ni la sécurité du poste de l’auditeur, ni la maîtrise de son cloud documentaire, ni l’absence de copie locale.
La bonne approche commence avant l’envoi.
Classer les documents selon leur sensibilité.
Ne transmettre que ce qui est nécessaire.
Masquer les informations inutiles.
Utiliser une salle de données sécurisée.
Limiter les droits et la durée d’accès.
Interdire les téléchargements si possible.
Tracer les consultations.
Prévoir la notification des incidents.
Encadrer les sous-traitants.
Exiger la restitution ou la destruction vérifiable des données.
Pour les audits sensibles, il faut aussi regarder les qualifications, certifications du prestataire, la localisation de ses équipes, son hébergement, ses procédures de sécurité.
Un auditeur peut être excellent techniquement et représenter malgré tout un risque de fuite, d’espionnage, d’exposition réglementaire ou de dépendance juridique.
La confiance ne doit donc pas reposer uniquement sur sa réputation.
Elle doit aussi reposer sur des preuves.
La vraie question n’est pas seulement :
“Cet auditeur est-il capable d’évaluer notre sécurité ?”
Mais :
“Est-il capable de protéger les informations que nous allons lui confier ?”
Faire auditer son SI est nécessaire.
Créer une copie mal protégée de ses informations sensibles ne l’est pas.
Avant l’audit, vérifiez la sécurité de l’auditeur.
Avant de transmettre, vérifiez sa souveraineté.
Et pendant l’audit, gardez la maîtrise des données !
PS : Si vous découvrez mon contenu (veille CERT, Post), je vous invite à me suivre ici sur LinkedIn
#Audit #Cybersécurité #RésilienceIT #SouverainetéNumérique #RisqueTiers #RSSI #DSI #Conformité
