L'audit de sécurité au service de NIS2 et d'ISO 27001
Les réglementations comme NIS2 et les normes comme ISO 27001 exigent de plus en plus des preuves, pas des intentions. Un audit documenté et reproductible de votre environnement Microsoft — le tenant et l'annuaire — est l'un des moyens les plus concrets de produire ces preuves.
Le basculement vers la preuve
NIS2 et ISO 27001 partagent un thème : il ne suffit plus de dire qu'on gère le risque — il faut le démontrer. Cela suppose des contrôles documentés, une posture mesurable et la capacité de montrer une amélioration dans le temps. Un audit structuré produit exactement ce type d'artefact.
Ce qu'attend NIS2
NIS2 relève le niveau d'exigence en matière de gestion du risque cyber pour un large éventail d'organisations, avec une responsabilité réelle au niveau de la direction. Parmi ses thèmes : analyse de risque, contrôle d'accès, préparation au traitement des incidents, sécurité de la chaîne d'approvisionnement. Un audit d'environnement Microsoft contribue directement à plusieurs d'entre eux — en particulier le contrôle d'accès et l'identité. C'est-à-dire le tenant cloud, mais aussi l'annuaire on-premises qui authentifie encore l'essentiel du parc.
Ceci n'est pas un avis juridique. Les obligations NIS2 dépendent de votre secteur, de votre taille et de votre juridiction. Un audit soutient la conformité sur les aspects techniques liés à l'identité ; il ne remplace pas une évaluation juridique et organisationnelle complète.
Comment un audit se rattache à ISO 27001
L'annexe A d'ISO 27001 comporte des mesures sur la gestion des accès, l'accès à privilèges, la journalisation et la supervision, et la configuration. Un audit de sécurité Microsoft apporte la preuve technique derrière ces mesures : qui détient un accès privilégié — dans le tenant et dans l'annuaire —, si la MFA est imposée, comment les journaux sont conservés, et comment la configuration se compare à une baseline documentée. Cette preuve alimente directement la documentation de votre SMSI et une évaluation externe.
Deux périmètres, un seul corpus de preuves
Une organisation qui tourne sous Microsoft n'en exploite rarement qu'un seul des deux. Le tenant cloud et l'annuaire on-premises portent chacun leur part de l'exigence, et un évaluateur qui ne regarde que le premier passe à côté de l'endroit où se trouve l'essentiel du risque.
| Périmètre | Ce qu'il apporte à l'exigence |
|---|---|
| Entra ID & Microsoft 365 | Robustesse de l'authentification, accès conditionnel, rôles à privilèges, consentement applicatif, accès invité, politiques de messagerie et de partage, rétention des journaux d'audit. |
| Active Directory | Appartenance aux groupes privilégiés, comptes de service, délégations ACL, configuration Kerberos, modèles de certificat, approbations, couverture LAPS — et les chemins d'escalade qui les relient. |
La correspondance normative est la même dans les deux, et c'est ce qui fait que les preuves s'additionnent au lieu de rester dans deux piles séparées.
Pourquoi « défendable » compte ici
Pour les deux régimes, un audit ne vaut que par sa traçabilité. Un score à la méthode documentée, avec des contrôles rattachés à des référentiels reconnus et une référence par contrôle, est de ceux qu'on peut poser devant un evaluateur. Une checklist vague, non.
Reproductibilité et tendance
La conformité n'est pas un événement ponctuel. NIS2 comme ISO 27001 supposent une gestion continue. Rejouer le même audit périodiquement — et comparer les résultats dans le temps — démontre l'amélioration continue, ce que les evaluateurs et les régulateurs veulent précisément voir. « Nous étions à 54 %, nous sommes à 78 %, voici les preuves » est une phrase qui porte.
Par où commencer
- Lancer un audit de référence sur les deux périmètres — le tenant cloud et l'annuaire.
- Rattacher les constats aux mesures de l'annexe A d'ISO 27001 ou aux thèmes NIS2 concernés.
- Corriger les fondamentaux en premier, en suivant le score pondéré.
- Réauditer selon un calendrier et conserver les rapports comme preuves.