Repère Sécurité Guides Lire un rapport d’audit
Lire un rapport d’audit, et décider par quoi commencer
Recevoir un rapport et savoir quoi en faire sont deux choses différentes. Voici comment se lit un constat, ce qu’une échelle de gravité dit vraiment, et comment arbitrer quand la liste paraît entièrement urgente.
L’anatomie d’un constat
Un constat exploitable répond à trois questions, dans cet ordre. Si l’une manque, le rapport vous laisse du travail d’interprétation qu’il aurait dû faire.
-
Ce que c’est
La description de ce qui a été observé, en français, et la preuve de l’observation. Pas « configuration non conforme », mais ce qui a été vu et où.
-
Ce que ça implique
La conséquence concrète pour votre site. C’est cette partie qui distingue un constat d’une ligne de sortie d’outil : elle demande de connaître le contexte.
-
Quoi faire
Une remédiation applicable telle quelle par un développeur. Pas une recommandation générale, mais l’action précise à mener.
S’ajoutent souvent des références externes : un identifiant de vulnérabilité publique lorsqu’il en existe un, ou la catégorie de faiblesse à laquelle le constat se rattache. Elles servent à votre développeur, pas à vous : vous n’avez pas besoin de les comprendre pour décider.
Ce que dit la gravité
Les rapports classent généralement les constats sur une échelle allant de critique à informatif. Beaucoup s’appuient sur le CVSS, un système de notation standardisé des vulnérabilités qui produit un score à partir de critères techniques.
Il faut savoir ce que ce score mesure, et ce qu’il ne mesure pas. Il évalue les caractéristiques de la faiblesse : la facilité d’exploitation, les privilèges nécessaires, l’impact technique. Il ignore ce que vaut, pour vous, ce qui est en jeu.
Une faiblesse notée élevée sur un formulaire d’inscription à une infolettre et la même sur un espace client contenant des dossiers de patients ont le même score et pas du tout la même urgence. C’est vous qui apportez cette information ; un rapport bien fait la demande plutôt que de la supposer.
À retenir
La gravité technique est un point de départ, pas un ordre de travail. L’ordre de travail se construit en croisant la gravité avec ce que la donnée concernée représente pour votre activité.
Arbitrer quand tout semble urgent
Un premier rapport contient souvent plus de constats qu’on ne peut en traiter d’un coup. Trois questions permettent de trancher, dans cet ordre.
Qu’est-ce qui est atteignable depuis l’extérieur ?
Une faiblesse exploitable sans aucun accès préalable ne se compare pas à une faiblesse qui suppose déjà un compte. La première est ouverte à n’importe qui, la seconde à un cercle restreint.
Qu’est-ce qui touche des données de personnes ?
Renseignements de clients, coordonnées, historiques d’achat. Au-delà du risque, ces données portent des obligations : au Québec, la Loi 25 impose des mesures de sécurité proportionnelles à leur sensibilité. Ce qui les touche remonte dans la liste.
Qu’est-ce qui se corrige en une heure ?
Certains constats demandent une refonte, d’autres un réglage. Traiter d’abord ce qui est rapide n’est pas de la paresse : c’est réduire le nombre de portes pendant que le travail long se prépare.
Une quatrième question, qu’on oublie souvent : qu’est-ce qui va réapparaître ? Un composant retiré ne revient pas. Un compte fermé peut être rouvert par quelqu’un qui ignore pourquoi il l’était. La deuxième correction demande un changement d’habitude, pas seulement un geste technique.
Suivre dans la durée
Un rapport n’est pas un document qu’on lit une fois. Chaque constat traverse des états : ouvert quand il est signalé, reconnu quand vous l’avez pris en compte, corrigé quand l’action a été menée et vérifiée.
Deux autres états comptent autant. Accepté décrit un constat que vous choisissez de ne pas traiter, parce que la correction coûterait plus que le risque : c’est une décision légitime, à condition qu’elle soit écrite. Faux positif décrit un signalement qui n’en était pas dans votre contexte.
Un rapport dont tous les constats restent « ouverts » six mois plus tard n’a pas servi. Ce n’est pas une question d’outil, c’est une question de personne responsable : quelqu’un doit tenir la liste.
À qui le transmettre
Le rapport vous appartient. Vous pouvez le remettre à votre développeur, à un donneur d’ordre qui l’exige avant de signer, à un client plus grand que vous, ou à un assureur.
Une précaution : un rapport d’audit décrit des faiblesses. Tant qu’elles ne sont pas corrigées, c’est un document à diffuser avec discernement — le transmettre à qui doit agir, pas le mettre en pièce jointe d’un envoi général.
Et une limite à connaître : un rapport n’est pas une certification. Il constate un état, à une date, sur un périmètre donné. Personne ne peut en déduire qu’un site est sûr aujourd’hui, six mois plus tard.
Chez Repère, chaque constat est relu par une personne avant de vous être transmis, et la correction peut faire l’objet d’un second mandat si vous ne souhaitez pas la porter vous-même. Le rapport reste écrit pour être appliqué par n’importe quel développeur compétent : voir comment se déroule un audit.