Audit d'organisation de la sécurité et de la protection des données (Active Directory)
Une vision argumentée de votre niveau de maîtrise, présentable à la direction, au conseil d'administration et à la tutelle.
En bref
- Résultat
- Une vision argumentée de votre niveau de maîtrise, présentable à la direction, au conseil d'administration et à la tutelle.
- Idéal pour
- Responsable de la sécurité des systèmes d'information, directrice du numérique ou délégué à la protection des données d'un établissement d'enseignement supérieur.
- Ce que vous obtenez
- Rapport d'audit sur pièces et en entretiens, avec écarts constatés, niveau de risque par constat et plan d'actions priorisé.
- Prérequis de votre côté
- Accès aux politiques, procédures et registres existants, entretiens avec les équipes concernées et désignation d'un interlocuteur côté établissement.
- Durée et charge
- 6 à 12 jours
- Format
- Forfait
Exemple de situation
Recenser les usages de l'outil et ses droits d'administration. Un établissement utilise Active Directory dans plusieurs services sans vue d'ensemble. L'audit d'organisation recense les périmètres couverts, les comptes d'administration, les versions, la documentation et les procédures de reprise, puis classe les écarts. Ce n'est pas un audit de sécurité qualifié par l'ANSSI (Agence nationale de la sécurité des systèmes d'information).
Nous examinons sur pièces et en entretiens la façon dont votre établissement traite le thème Active Directory : gouvernance, politiques écrites, rôles et responsabilités, inventaire des systèmes et des traitements, gestion des comptes, des vulnérabilités et des incidents, information des personnes. Les constats sont rapprochés des référentiels que vous visez, par exemple la PSSI (politique de sécurité des systèmes d'information) de l'État, l'ISO/IEC 27001, le RGPD (règlement général sur la protection des données) et les recommandations de la CNIL (Commission nationale de l'informatique et des libertés) et de l'ANSSI. Pour un texte non encore transposé, comme NIS 2 (Network and Information Security 2, directive européenne sur la sécurité des réseaux et des systèmes d'information), l'audit prend la forme d'un diagnostic de préparation.
Il s'agit d'un audit d'organisation et de pratiques. Ce n'est pas un audit de sécurité qualifié par l'ANSSI : nous ne réalisons ni test d'intrusion ni audit technique d'architecture au sens de cette qualification. Le rapport hiérarchise les constats par niveau de risque, propose des actions réalistes pour un établissement public et se rédige pour être présenté à votre direction, à votre comité de sécurité ou à votre délégué à la protection des données.
Déroulé de la prestation
Cadrage
Nous fixons avec vous le périmètre, le référentiel applicable et les interlocuteurs, et nous convenons des règles de confidentialité et d'accès aux sites et aux systèmes.
Lecture documentaire
Nous lisons les procédures, enregistrements et comptes rendus relatifs au thème Active Directory, avant toute rencontre, pour arriver sur le terrain avec des questions précises.
Entretiens et observation
Nous rencontrons les responsables et les utilisateurs, et nous observons les pratiques sur le terrain (salle, laboratoire, bibliothèque, local technique) lorsque l'accès est possible.
Analyse des écarts
Chaque constat est rattaché à une exigence identifiée, classé par gravité et par urgence, et associé à une action corrective, un responsable et un délai.
Restitution
Nous présentons le rapport à votre direction, répondons aux objections et, si vous le souhaitez, préparons avec vous le plan d'actions.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre conseil ou à l'autorité concernée.
- Rapport d'audit avec écarts constatés et niveau de risque par constat
- Rapprochement avec les référentiels visés (PSSI de l'État, ISO/IEC 27001, RGPD)
- Plan d'actions priorisé, présenté à la direction et au responsable de la sécurité
Format et charge : forfait, 6 à 12 jours. Idéal pour : responsable de la sécurité des systèmes d'information, directrice du numérique ou délégué à la protection des données d'un établissement d'enseignement supérieur. Prérequis de votre côté : accès aux politiques, procédures et registres existants, entretiens avec les équipes concernées et désignation d'un interlocuteur côté établissement.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent de l'établissement et du périmètre.
Recenser les usages de l'outil et ses droits d'administration
Un établissement utilise Active Directory dans plusieurs services sans vue d'ensemble. L'audit d'organisation recense les périmètres couverts, les comptes d'administration, les versions, la documentation et les procédures de reprise, puis classe les écarts. Ce n'est pas un audit de sécurité qualifié par l'ANSSI.
Examiner la documentation et la répartition des rôles
L'audit relit la documentation d'exploitation d'Active Directory, la répartition des rôles entre le responsable de la sécurité et les administrateurs, et les décisions tracées lors des derniers changements. Il propose un plan d'actions réaliste pour un établissement public, sans test d'intrusion ni qualification.
Questions fréquentes sur cette prestation
Combien de temps dure l'audit et qui le réalise ?
La charge indicative est de 6 à 12 jours, format forfait, répartie entre la lecture documentaire, les entretiens, l'observation sur site et la rédaction. L'auditeur est un praticien du thème Active Directory dans l'enseignement supérieur, la recherche ou la formation, indépendant de vos équipes, qui signe les engagements de confidentialité demandés. Nous fixons le calendrier avec vous pour que la restitution précède votre échéance, évaluation externe, audit de certification ou contrôle, d'au moins quelques semaines, afin de laisser le temps de traiter les écarts les plus importants.
Quelle différence avec une formation sur ce thème ?
La formation transmet des compétences ; l'audit vous dit où vous en êtes. Sur le thème Active Directory, l'audit produit un rapport étayé, avec des constats rattachés à des exigences identifiées et un plan d'actions chiffré, présentable à votre direction ou à un évaluateur. Il met souvent en évidence des besoins de formation, que nous pouvons ensuite couvrir, mais il ne remplace pas la formation, et inversement. Il ne remplace pas non plus l'évaluation d'une autorité ou d'un organisme de certification, que nous ne réalisons pas. Les deux prestations se combinent dans un même plan lorsque l'échéance le justifie.
Que devons-nous préparer avant la prestation ?
Pour le thème Active Directory, nous demandons les documents existants, un référent interne et l'accès aux outils concernés. Le cadrage fixe le périmètre, les livrables et le calendrier avant le devis détaillé ; la prestation commence après votre accord. Rien n'est engagé avant le devis. Les intervenants sont des praticiens du secteur, tenus par les engagements de confidentialité demandés par votre établissement. Une passation documentée clôt chaque prestation, pour que vos équipes reprennent le sujet sans dépendance. Nous validons le cadrage avec vous avant de démarrer et nous vous remettons un calendrier.
Demander un devis
Indiquez l'établissement, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un premier cadrage ; le devis détaillé suit l'échange.
Les autres types de prestation sur le thème Active Directory
- Conseil en gouvernance de la sécurité et des données (Active Directory)
- Conception d'architecture et de politiques de sécurité (Active Directory)
- Déploiement de solutions de sécurité et d'identité (Active Directory)
- Évaluation de maturité et exercice de crise (Active Directory)
- Découvrir les concepts de sécurité et d'audit d'AD