Un test d'intrusion est un exercice technique qui tente d'exploiter des vulnérabilités dans vos systèmes et infrastructures — il répond à la question « quelqu'un peut-il s'introduire ? ». Un audit interne est un exercice de gouvernance et de conformité qui évalue si vos politiques, contrôles et processus sont mis en œuvre, documentés et efficaces — il répond à la question « gérons-nous correctement la sécurité ? ». Les deux sont utiles, mais ils évaluent des dimensions différentes de la sécurité. ISO 27001 et NIS2 exigent des audits internes documentés ; ni l'un ni l'autre n'impose le test d'intrusion comme activité obligatoire (bien que les deux recommandent des tests des contrôles techniques).

Il n'y a pas de limite prescrite — l'objectif d'un audit interne est précisément de trouver et documenter les non-conformités pour qu'elles puissent être corrigées avant un audit externe ou une inspection réglementaire. En réalité, un audit interne qui ne trouve aucune non-conformité est presque toujours le signe d'un manque de rigueur, pas d'un programme parfait. Ce qui compte, c'est que chaque non-conformité soit documentée avec une analyse des causes racines, qu'une action corrective soit assignée à un responsable, et qu'elle soit résolue dans un délai raisonnable. Les rapports d'audit de Cyber-Management incluent un plan d'actions correctives qui simplifie ce processus.

Oui — c'est un arrangement courant et pratique. ISO 27001 exige que les auditeurs internes soient objectifs et impartiaux, mais n'interdit pas à la même organisation de fournir à la fois un accompagnement à la mise en œuvre et des services d'audit interne. Nous gérons l'objectivité par une séparation claire des missions : le consultant qui construit votre programme ne réalise pas l'audit. Un membre différent et indépendant de notre équipe effectue l'audit, garantissant que les exigences d'impartialité de la clause 9.2 d'ISO 27001 et les exigences d'indépendance de NIS2 sont pleinement satisfaites.

Un audit interne est conduit par ou pour le compte de votre organisation, à vos propres fins — pour évaluer votre système de management et identifier des améliorations. Un audit de certification externe est conduit par un organisme de certification accrédité pour déterminer si votre organisation satisfait aux exigences ISO 27001 ou d'une autre certification. L'audit interne vient généralement en premier : vous l'utilisez pour trouver et corriger les problèmes, puis vous présentez les preuves de l'audit interne réalisé à l'organisme de certification dans le cadre de votre dossier de certification. Sans audit interne correctement conduit, la plupart des organismes de certification ne procèdent pas à l'audit externe de Phase 2.

Pour une petite entreprise de moins de 50 collaborateurs avec une exploitation mono-site, un audit interne ISO 27001 complet prend généralement entre 3 et 5 jours de temps auditeur répartis sur 2 à 3 semaines (incluant la revue documentaire, les entretiens et la rédaction du rapport). Pour les organisations de taille intermédiaire de 50 à 200 collaborateurs, le délai est généralement de 5 à 10 jours de temps auditeur. Les audits à périmètre restreint — couvrant une réglementation spécifique comme le RGPD ou NIS2 plutôt que le système de management complet — peuvent souvent être réalisés en 2 à 3 jours. Cyber-Management fournit une estimation du périmètre avant chaque mission.

Pour les audits internes ISO 27001, la norme ne spécifie pas de certifications obligatoires, mais les auditeurs doivent avoir une connaissance démontrable des exigences de la norme et des principes d'audit. Pour les audits de préparation à la certification, le recours à un auditeur principal ISO/IEC 27001 accrédité PECB — comme l'est l'équipe de Cyber-Management — garantit que l'audit interne est conduit selon le même standard que l'audit de certification externe, maximisant la valeur des constats et la qualité des preuves d'audit. Pour les audits RGPD et NIS2, une connaissance juridique et réglementaire pertinente est indispensable en plus de l'expertise technique en sécurité.