Preuves d’audit : issues de l’exploitation, pas du tableur

Les preuves attendues par les auditeurs

• Un inventaire à jour des actifs avec leurs responsables (ISO/IEC 27001, annexe A 5.9)
• Une gestion encadrée des vulnérabilités techniques, avec délais (A 8.8)
• La détection, le traitement et la déclaration des incidents
• La preuve que les mesures sont efficaces (évaluation des performances, chapitre 9)

Des preuves produites en continu

Chaque détection, évaluation, tâche et vérification est horodatée dans XMfortress. Il en résulte des rapports avec historique : comment la surface d’attaque a-t-elle évolué, combien de vulnérabilités critiques sont restées ouvertes et pendant combien de temps, quelles validations ont été menées et avec quel résultat ?

Un reporting de direction en langage clair

Avec NIS2, la direction doit approuver les mesures et en superviser la mise en œuvre. Elle n’a pas besoin de lignes de journal, mais d’une vision de la situation : score d’exposition, tendance, risques critiques ouverts et respect des délais, de façon compréhensible et comparable dans le temps.

Pour plusieurs référentiels à la fois

Les mêmes données servent à démontrer les exigences d’ISO/IEC 27001, NIS2 et DORA. Au lieu de trois projets de preuves distincts, une seule base de données suffit.