Cadrer et autoriser
Le représentant de l’entreprise doit pouvoir autoriser les contrôles sur les actifs concernés. Les infrastructures de tiers, services mutualisés et actifs hors périmètre sont exclus sauf autorisation appropriée. Le cadrage précise le contact d’urgence et les conditions d’arrêt.
Limiter les preuves et protéger l’activité
Les preuves doivent suffire à expliquer un constat sans collecte excessive. Les actions destructrices, le déni de service, la persistance et l’extraction massive de données ne font pas partie du diagnostic. Une contrainte opérationnelle ou un doute sur l’autorisation entraîne une suspension et un échange avec le responsable.
Distinguer observation et démonstration
Le rapport différencie ce qui a été observé, ce qui a été confirmé, ce qui reste à vérifier et ce qui n’a pas été testé. Un outil automatique peut produire un faux positif. Une absence de résultat peut aussi refléter une limite d’accès. Les décisions de correction restent humaines.
Encadrer les accès et les données
Les accès nécessaires, les destinataires des résultats, les outils utilisés, les lieux de traitement et la durée de conservation sont précisés pour la mission. N’envoyez pas de secrets dans le formulaire public. Aucun engagement « Outils encadrés uniquement » ou d’hébergement de l’ensemble des traitements en France ne doit être déduit du seul hébergement du site.
Restituer et retester
Chaque correction retestée doit avoir un résultat daté. Les écarts non corrigés ou non vérifiables demeurent ouverts et sont expliqués. L’audit ne constitue pas une certification. Elvia Secure ne revendique aucune qualification PASSI ni certification ISO 27001 sur cette page.
Politique éditoriale
Les guides distinguent conseils généraux et prestations proposées. Les exemples sont illustratifs et les chiffres sont attribués à une source datée. La responsabilité éditoriale relève d’Arthur Fernandez, éditeur d’Elvia Secure. Aucune relecture indépendante ou certification d’expertise n’est revendiquée sans preuve.