Cours d'audit en cybersécurité

Leçon 1 • Rôles et responsabilités dans un audit

Cartographie les rôles des parties prenantes : auditeur, audité, commanditaire et organe de supervision. Définit les structures de responsabilité qui régissent l'indépendance et l'objectivité de l'audit.

Leçon 2 • Audit de cybersécurité vs disciplines connexes

Différencie l'audit du test d'intrusion, de l'évaluation des risques et des examens de gouvernance. Clarifie quand chaque discipline s'applique et comment elles interagissent.

Leçon 3 • Concepts fondamentaux et terminologie de l'audit

Établit un vocabulaire commun : risque, menace, vulnérabilité, contrôle et assurance. Fournit la base conceptuelle pour toutes les activités d'audit ultérieures.

Leçon 1 • Exigences réglementaires et de conformité sectorielle

Examine les obligations de conformité sectorielles telles que la protection des données, la sécurité financière et les normes d'infrastructure critique. Lie la conformité à la définition du périmètre de l'audit.

Leçon 2 • Aperçu des cadres de cybersécurité

Passe en revue les cadres de contrôle largement adoptés et leurs composants structurels. Fournit le contexte pour sélectionner et appliquer les cadres lors d'une mission d'audit.

Leçon 3 • Définition du périmètre d'audit à l'aide des cadres

Montre comment les domaines du cadre guident les décisions de périmètre et de délimitation. Garantit que la couverture de l'audit est défendable et alignée sur les priorités de risque de l'organisation.

Leçon 1 • Élaboration du programme d'audit

Traduit les résultats de l'évaluation des risques en un programme d'audit détaillé avec des procédures et des étapes de test spécifiques. Garantit une couverture complète des zones à haut risque.

Leçon 2 • Réalisation d'une évaluation des risques préalable à l'audit

Guide les auditeurs dans la collecte d'informations et l'identification préliminaire des risques avant le début du travail sur le terrain. Produit un registre des risques qui façonne le programme d'audit.

Leçon 3 • Méthodologie d'audit basée sur les risques

Présente la planification basée sur les risques comme le fondement de la priorisation des efforts d'audit. Relie l'appétence au risque de l'organisation aux domaines d'intervention de l'audit et aux décisions en matière de ressources.

Leçon 4 • Planification de l'audit et des ressources

Couvre la construction d'un calendrier, l'attribution des rôles dans l'équipe et la coordination avec les parties prenantes auditées. Produit un calendrier d'audit réaliste et approuvé.

Leçon 1 • Examen des documents et analyse des artefacts

Enseigne l'examen systématique des politiques, procédures, journaux et enregistrements de configuration. Relie l'analyse documentaire aux conclusions sur l'efficacité des contrôles.

Leçon 2 • Normes relatives aux dossiers de travail d'audit

Établit la structure, l'indexation et les exigences de renvoi des dossiers de travail. Garantit que les dossiers de travail sont complets, clairs et vérifiables par un tiers qualifié.

Leçon 3 • Chaîne de traçabilité et intégrité des preuves

Aborde les procédures de maintien de l'intégrité des preuves, de la collecte au rapport. Empêche les contestations de falsification des preuves qui pourraient invalider les conclusions d'audit.

Leçon 4 • Types et qualité des preuves d'audit

Définit les catégories de preuves — physiques, testimoniales, documentaires et analytiques — et évalue leur fiabilité. Établit des critères de qualité qui déterminent le poids probant.

Leçon 1 • Audit de la gestion des identités et des accès

Évalue le provisionnement des utilisateurs, la force de l'authentification, la gestion des privilèges et les processus de révision des accès. Identifie les accès excessifs et les violations de la séparation des tâches.

Leçon 2 • Test des contrôles de sécurité applicative

Teste la validation des entrées, l'authentification, la gestion des sessions et la gestion des erreurs dans les applications. Relie les faiblesses applicatives au risque métier et à l'exposition des données.

Leçon 3 • Test de la cryptographie et de la protection des données

Évalue la mise en œuvre du chiffrement, les pratiques de gestion des clés et les protections des données au repos et en transit. Identifie les faiblesses cryptographiques qui exposent les données sensibles.

Leçon 4 • Examen du durcissement des points de terminaison et des systèmes

Évalue la gestion des correctifs, les bases de référence de configuration et les contrôles de protection des points de terminaison. Valide que les systèmes respectent les normes de durcissement et sont protégés contre les menaces connues.

Leçon 1 • Audit des risques liés aux tiers et aux fournisseurs

Évalue l'intégration des fournisseurs, les exigences de sécurité contractuelles, la surveillance continue et les contrôles de sortie. Aborde le risque lié à la chaîne d'approvisionnement comme une exposition organisationnelle.

Leçon 2 • Gestion des changements et contrôle de la configuration

Audite les procédures de demande de changement, d'approbation, de test et de retour arrière pour les systèmes informatiques. Vérifie que les changements non autorisés sont détectés et contrôlés.

Leçon 3 • Audit de la sensibilisation et de la formation à la sécurité

Évalue la conception du programme de formation, la prestation, le suivi de l'achèvement et la mesure de l'efficacité. Relie les niveaux de sensibilisation des effectifs au risque d'ingénierie sociale et de menace interne.

Leçon 4 • Examen des politiques et procédures de sécurité

Évalue l'exhaustivité, l'actualité, le statut d'approbation et l'alignement sur le risque organisationnel des politiques. Identifie les lacunes politiques qui laissent les contrôles opérationnels sans soutien.

Leçon 1 • Rédaction de recommandations claires et exploitables

Enseigne la rédaction de recommandations spécifiques, mesurables et réalisables. Relie chaque recommandation directement à la cause profonde et à l'impact sur le risque de la conclusion.

Leçon 2 • Structure et contenu du rapport d'audit

Définit les composants d'un rapport d'audit formel : résumé exécutif, périmètre, méthodologie, conclusions et recommandations. Équilibre le détail technique et la lisibilité pour la direction.

Leçon 3 • Communication des conclusions aux parties prenantes

Couvre les techniques de présentation des conclusions lors des réunions de clôture, des briefings pour la direction et des rapports écrits. Aborde la gestion des désaccords et des objections de la direction de manière professionnelle.

Leçon 4 • Élaboration des conclusions d'audit

Structure les conclusions à l'aide des composants condition, critères, cause et effet. Garantit que chaque conclusion est étayée par des preuves, notée en fonction du risque et liée à une défaillance de contrôle spécifique.

Leçon 1 • Audit continu et surveillance

Explore les techniques de surveillance automatisée qui fournissent une assurance continue entre les audits formels. Intègre la surveillance continue des contrôles dans la stratégie d'audit.

Leçon 2 • Mesure de la maturité des contrôles

Présente les modèles de maturité pour évaluer les niveaux de capacité des contrôles au fil du temps. Suit les tendances d'amélioration et communique les progrès en matière de maturité à la direction.

Leçon 3 • Procédures d'audit de suivi

Définit quand et comment les audits de suivi vérifient que les actions correctives ont été mises en œuvre efficacement. Distingue le réaudit complet du test de suivi ciblé.

Leçon 4 • Planification des corrections et responsabilisation

Établit des processus pour attribuer les responsables des corrections, fixer des échéances et suivre les plans d'actions correctives. Garantit la responsabilisation pour combler les lacunes de contrôle identifiées.