Ce que les auditeurs demandent vraiment : constituer une piste de preuve avant l'audit

Les auditeurs demandent trois choses, dans cet ordre : la politique qui dit ce qui devrait se passer, l'enregistrement montrant que cela s'est produit, et la date prouvant quand. Presque tous les audits pénibles que j'ai vus ont déraillé au deuxième point. Les entreprises ont d'excellentes politiques et presque aucun enregistrement, si bien que les semaines précédant la mission deviennent un chantier d'archéologie.

La solution n'est pas de travailler plus fort avant l'audit. C'est de saisir l'enregistrement au moment où le contrôle s'exécute, quand cela ne coûte rien.

Qu'est-ce qui compte comme preuve ?

Une preuve est un artefact daté, produit par un système ou une personne, établissant qu'un contrôle précis s'est exécuté à une occasion précise. Cette définition exclut une bonne part de ce que les équipes proposent.

Une politique n'est pas une preuve. Elle énonce une intention. Une capture d'écran sans horodatage est une preuve faible, car elle atteste un état, non une date. Un courriel disant « nous faisons cela chaque trimestre » ne prouve rien d'autre que le courriel. Ce que les auditeurs veulent ressemble plutôt à ceci :

Le motif de la colonne de droite est toujours le même : qui, quoi, quand, et un résultat. Si votre artefact contient ces quatre éléments, il sera généralement accepté. S'il manque le « quand », attendez-vous à une demande complémentaire.

Pourquoi une preuve constituée après coup paraît-elle moins bonne ?

Parce que les auditeurs le voient, et parce qu'elle l'est généralement.

Si un contrôle devait s'exécuter chaque trimestre et que vous produisez quatre exports de revue créés la même semaine, trois semaines avant la mission, vous avez prouvé l'inverse de ce que vous vouliez. Vous avez démontré que la revue ne se faisait pas dans les délais. J'ai vu une entreprise échouer à un contrôle exactement sur ce point, alors qu'elle avait bel et bien fait les revues, parce qu'elle avait refait les exports par souci de propreté et détruit les dates d'origine.

Conservez l'artefact d'origine avec son horodatage d'origine, même s'il est laid. Un fichier CSV brouillon exporté en avril vaut mieux qu'un PDF impeccable produit en septembre.

Les preuves qu'on oublie de conserver

Certains enregistrements n'existent que si quelqu'un les a délibérément saisis, et ce sont ceux qui manquent.

Les décisions de ne pas agir. Vous avez évalué un risque et l'avez accepté. C'est une issue légitime, mais seulement si elle est consignée avec une justification et un approbateur. Une acceptation non consignée est indiscernable d'un oubli.

Les exceptions. Quelqu'un a obtenu un accès hors du processus normal parce qu'une escalade client l'exigeait. Consignez l'exception, l'approbateur et l'échéance. Les exceptions ne sont pas des échecs ; les exceptions non documentées le sont.

Les résultats négatifs. Les incidents sans gravité, les analyses qui n'ont rien trouvé, les revues qui n'ont rien changé. Un registre des incidents de confidentialité ne contenant que de véritables atteintes semble trié. Un registre contenant trente événements triés, dont deux à déclarer, ressemble à un processus qui fonctionne.

Les approbations données de vive voix. Un accord verbal en réunion est réel, mais ne laisse aucun artefact. Faites-le suivre de deux lignes dans un billet ou un canal nommant la décision, l'approbateur et la date.

Comment saisir les preuves sans alourdir le travail ?

Sortez le déclencheur de la tête des gens pour le confier à un système, puis laissez l'enregistrement du système servir de preuve.

La règle que j'applique : si prouver un contrôle exige que quelqu'un se souvienne, la preuve finira par manquer. Si le contrôle s'exécute à une date, sur un événement ou sur un changement d'état, l'enregistrement se génère tout seul.

Trois exemples de ce basculement :

• Une revue de fournisseur qui a lieu parce que quelqu'un consulte un tableur devient une revue qui s'ouvre automatiquement à la date de renouvellement, dans l'inventaire des fournisseurs. La tâche terminée est la preuve.
• Une évaluation de la vie privée qui a lieu parce que quelqu'un la dépose devient une évaluation qui s'ouvre quand un système est enregistré comme à risque élevé. Le dossier d'évaluation est la preuve.
• Un compte rendu d'incident rédigé si l'incident semblait grave devient une entrée créée pour chaque événement trié, dans un journal des incidents. Le journal est la preuve.

Rien de tout cela n'exige d'outillage d'entreprise. Il faut simplement que le déclencheur cesse d'être la mémoire d'une personne.

Combien de temps conserver les preuves ?

Assez longtemps pour couvrir la période auditée plus le recul exigé par le cadre, ce qui signifie en pratique au moins deux ans pour la plupart des programmes SOC 2 et ISO, et davantage pour tout ce qui touche des dossiers réglementés.

Deux mises en garde propres au Canada. D'abord, une preuve contenant des renseignements personnels demeure un renseignement personnel : votre calendrier de conservation s'y applique. Un export de revue des accès listant chaque compte d'employé est un document concernant des personnes. Ensuite, ne réglez pas la conservation en gardant tout indéfiniment. Cela transforme une archive de preuves en risque d'atteinte, ce qui est un mauvais échange.

Si vous hésitez encore sur le cadre pour lequel vous rassemblez ces preuves, la certification ISO 27001 au Canada compare les options et ce que chacune exige.

Ceci est de l'information générale et non un avis juridique.

Valdra saisit les preuves à mesure que les contrôles s'exécutent, plutôt que de vous demander de les assembler après coup, et réunit évaluations, revues de fournisseurs et incidents dans une même piste datée. La vue documents est l'endroit où vit cette piste.