Audit cybersécurité PME : 7 règles essentielles de diffusion

Ce qu’il faut retenir

Audit cybersécurité PME : pourquoi classer les livrables ?

Un audit cybersécurité PME produit rarement un seul document homogène. Une synthèse de direction, un inventaire technique, une liste de vulnérabilités et des preuves d’incident n’ont pas le même niveau de sensibilité.

Le DSI, le dirigeant ou le prestataire informatique doit pourtant faire circuler les résultats auprès des personnes chargées de décider ou de corriger. Un rapport trop largement diffusé peut faciliter une attaque : une liste de serveurs, des versions logicielles, des chemins d’administration ou une faille exploitable indiquent directement où concentrer les efforts.

La classification sert donc à proportionner les précautions au contenu. Elle aide à répondre à trois questions simples :

• qui a réellement besoin de consulter ce document ?
• peut-il être transféré à un tiers ?
• quelles précautions doivent être prévues pour son stockage et sa conservation ?

Le niveau retenu dépend du contenu réel, pas seulement du titre du fichier. Une synthèse de direction peut donc être partageable alors que son annexe technique reste strictement limitée. En cas de doute, faites vérifier le classement avant diffusion.

Pour replacer cette logique dans une démarche plus large, consultez notre guide complet de cybersécurité TPE-PME.

Audit cybersécurité PME : classification C0 à C3 des rapports

Les niveaux C0 à C3 ci-dessous constituent le référentiel interne présenté par Eur’Net pour ses livrables. Ils ne sont pas des catégories officielles du protocole TLP et ne remplacent pas les obligations contractuelles ou réglementaires applicables.

Un mot de passe actif ne devrait pas figurer dans un rapport ordinaire. Privilégiez un accès temporaire et limité, puis révoquez-le après usage. Si une preuve contient un secret, isolez-la du document destiné à une diffusion plus large.

Avant le démarrage d’un audit cybersécurité PME, listez les documents attendus, leur propriétaire et les destinataires utiles. Cette étape permet de distinguer une synthèse partageable d’une annexe qui révèle des détails techniques sensibles.

TLP 2.0 : qui peut recevoir un rapport d’audit cybersécurité ?

Le Traffic Light Protocol 2.0 défini par FIRST est un standard de partage de l’information. Il repose sur quatre labels : TLP:RED, TLP:AMBER, TLP:GREEN et TLP:CLEAR. FIRST précise que TLP:AMBER+STRICT est une restriction supplémentaire de TLP:AMBER, et non une cinquième couleur.

• TLP:RED : information limitée aux destinataires individuels. Aucune rediffusion n’est autorisée.
• TLP:AMBER+STRICT : partage limité, selon le besoin d’en connaître, à l’organisation destinataire uniquement.
• TLP:AMBER : partage possible, selon le besoin d’en connaître, dans l’organisation destinataire et avec ses clients au sens du standard FIRST.
• TLP:GREEN : partage possible dans la communauté concernée, mais jamais sur un canal publiquement accessible.
• TLP:CLEAR : aucune limite de rediffusion au titre du TLP, sous réserve des autres règles applicables.

FIRST demande que la mention TLP et les restrictions supplémentaires figurent dans l’en-tête et le pied de chaque page d’un document. Pour un courriel ou un message, la mention doit précéder l’information concernée et devrait aussi apparaître dans l’objet.

Le TLP fixe des limites de partage. Il ne définit ni le chiffrement, ni la durée de conservation, ni les conditions contractuelles. Ces éléments doivent être gérés séparément dans la mission.

Audit cybersécurité PME : comment combiner C2 et TLP:AMBER+STRICT ?

Prenons l’exemple d’un rapport marqué « C2 – TLP:AMBER+STRICT ». C2 indique que son contenu est confidentiel selon le référentiel Eur’Net. TLP:AMBER+STRICT signifie que le document reste limité, selon le besoin d’en connaître, à l’organisation destinataire.

Le DSI peut ainsi remettre une synthèse à la direction et les constats techniques aux personnes chargées de la correction. Si un prestataire externe doit intervenir sur une faille, il faut vérifier si la mention TLP autorise ce partage. Si ce n’est pas le cas, demandez l’autorisation explicite de l’émetteur ou une version destinée à ce prestataire.

Il n’existe aucune correspondance automatique entre C0 à C3 et les labels TLP. Un document C2 n’impose pas systématiquement TLP:AMBER, et un élément C3 n’impose pas automatiquement TLP:RED. La sensibilité du contenu et la limite de partage répondent à deux questions différentes.

Les 7 règles pour protéger les livrables d’un audit cybersécurité PME

1. Classer le contenu réel : ne classez pas uniquement le nom du document. Séparez les synthèses, annexes techniques et preuves sensibles.
2. Limiter les destinataires : transmettez uniquement aux personnes qui doivent décider, corriger ou superviser.
3. Vérifier le TLP avant chaque transfert : un dépôt sur un espace partagé constitue déjà une diffusion.
4. Séparer les secrets : identifiants, mots de passe et clés ne doivent pas être intégrés à un rapport courant.
5. Choisir le canal adapté : définissez à l’avance où seront déposés les documents sensibles et qui pourra les télécharger.
6. Préparer la fin de mission : documentez la restitution, la suppression des copies et la révocation des accès temporaires.
7. Tracer les décisions : conservez la liste des destinataires, les autorisations exceptionnelles et les changements de classement.

Ces règles sont particulièrement utiles lorsqu’un audit cybersécurité PME implique plusieurs intervenants : DSI externalisé, hébergeur, intégrateur, prestataire réseau, éditeur ou spécialiste de la remédiation. Elles évitent qu’une annexe complète circule lorsqu’un extrait limité aux corrections suffit.

Pour les diagnostics reposant uniquement sur des informations exposées publiquement, consultez aussi notre analyse cyber non intrusive et la méthode CTW. Cette approche est différente d’un audit technique donnant accès à des informations internes.

Échanges sécurisés : décisions à prendre avant la mission

Avant toute transmission, convenez du périmètre, des interlocuteurs et du canal utilisé pour les documents sensibles. Déterminez qui autorise l’accès, comment le retirer et à quel moment les livrables seront restitués ou supprimés.

Pour un premier état des lieux non intrusif, consultez le diagnostic MonAideCyber présenté par Eur’Net. Il reste distinct d’un audit technique approfondi et d’un test d’intrusion.

Questions fréquentes sur l’audit cybersécurité PME et TLP

Un prestataire peut-il recevoir un rapport TLP:AMBER ?

En bref : pas automatiquement.

FIRST définit les « clients » comme les personnes ou entités qui reçoivent des services de cybersécurité d’une organisation. Un prestataire qui fournit un service à la PME n’entre donc pas automatiquement dans cette catégorie.

Si le partage envisagé dépasse les destinataires autorisés, demandez l’accord explicite de l’émetteur ou un extrait limité aux informations nécessaires à la correction.

Un document C3 doit-il toujours être TLP:RED ?

En bref : non.

C3 qualifie la sensibilité du contenu dans le référentiel Eur’Net. TLP décrit, lui, la limite de partage imposée au destinataire.

Un élément très sensible peut devoir circuler entre plusieurs intervenants autorisés. L’émetteur choisit alors la mention TLP compatible avec l’usage prévu.

Peut-on publier une synthèse après un audit cybersécurité PME ?

Oui, mais uniquement après validation.

Retirez les détails techniques susceptibles d’aider un attaquant, ainsi que les données personnelles ou informations internes qui ne sont pas nécessaires à la publication.

Une mention TLP:CLEAR n’annule pas les obligations contractuelles, le droit d’auteur ou les règles de protection des données.

Une mention TLP chiffre-t-elle automatiquement le document ?

Non. TLP encadre la diffusion, pas le chiffrement.

FIRST précise que TLP n’est pas un système de classification formel et ne définit pas les règles de protection technique du fichier.

Le chiffrement, le stockage et les droits d’accès doivent donc être décidés séparément selon la sensibilité du contenu.

Combien de temps conserver les livrables ?

Il n’existe pas de durée universelle fixée par TLP ou par C0 à C3.

La conservation dépend des engagements de la mission, des besoins de preuve et des règles applicables.

Prévoyez explicitement la restitution, la suppression des copies et la révocation des accès à la clôture.

Un rapport d’audit doit-il contenir les mots de passe utilisés pendant la mission ?

Non. Les secrets actifs doivent rester séparés du rapport principal.

Lorsqu’un accès temporaire est nécessaire, utilisez un canal prévu à cet effet, limitez ses droits et sa durée de validité.

À la fin de l’intervention, révoquez l’accès et vérifiez qu’aucune copie inutile du secret ne subsiste.

Faire préciser le traitement de vos informations

Avant de transmettre un inventaire, une architecture ou une vulnérabilité à Eur’Net, demandez quels canaux, accès et délais de conservation s’appliquent à votre mission. La politique de confidentialité d’Eur’Net présente le cadre relatif aux données personnelles.

Pour préparer un audit cybersécurité PME, définissez dès le départ le niveau de sensibilité attendu, les destinataires et les modalités de diffusion. Cette préparation évite qu’un rapport utile à la correction devienne lui-même une source d’exposition.