Faille critique découverte en plein audit : avez-vous le droit d'en parler ?

Aucun autre prestataire externe n'obtient un accès aussi profond et aussi rapide aux entrailles d'un système d'information. En quelques jours d'audit ISO 27001, vous consultez la cartographie des actifs, l'analyse de risques, les configurations, parfois des journaux montrant des vulnérabilités encore ouvertes, des comptes à privilèges, voire des identifiants mal protégés. Vous repartez avec des notes, des captures, un rapport — un condensé de tout ce qu'un attaquant rêverait d'obtenir.

Cette position de confiance est la matière même de votre métier. Elle est aussi une responsabilité juridique lourde que beaucoup d'auditeurs n'évaluent qu'au moment où une question délicate se pose : « J'ai vu cette faille grave — qu'ai-je le droit d'en faire ? »

Le malaise est d'autant plus réel que votre culture professionnelle vous pousse à l'action. Un auditeur en sécurité de l'information est, par formation et par tempérament, quelqu'un qui veut réduire le risque. Découvrir une vulnérabilité béante et devoir s'en tenir à un rôle d'observateur qui consigne et remonte, sans corriger ni alerter au-delà du périmètre, va à rebours de cet instinct. Pourtant, c'est précisément cette discipline qui vous protège : votre légitimité tient à votre neutralité et à votre respect du mandat, pas à votre activisme.

Quasiment tout audit débute par la signature d'un accord de confidentialité (NDA). Ce document n'est pas une formalité : c'est le cadre qui détermine ce que vous pouvez consulter, conserver, transmettre et restituer. Lisez-le comme un contrat qui vous engage personnellement.

En pratique, un NDA d'audit vous oblige généralement à :

• N'utiliser les informations que pour la finalité de l'audit, et pour rien d'autre ;
• Ne les divulguer à aucun tiers, y compris au sein de votre propre cabinet hors équipe d'audit ;
• Protéger les supports (chiffrement du poste, des sauvegardes, des notes) ;
• Restituer ou détruire les données à l'issue de la mission, selon une durée définie.

La norme ISO 19011 renforce ce verrou par un principe déontologique : l'auditeur respecte la confidentialité et fait preuve de discrétion dans l'usage des informations acquises. Ce devoir de réserve s'applique même après la fin de la mission et survit à la relation contractuelle.

Voici la situation la plus inconfortable du métier. Vous découvrez, chez l'audité, une vulnérabilité grave et exploitable. Votre instinct technique pousse à agir. Voici ce que le cadre autorise réellement.

1. Vous devez le consigner et le remonter — au bon destinataire. Une faille critique se documente dans le rapport et se signale aux interlocuteurs désignés par le périmètre d'audit (RSSI, direction). C'est votre rôle.
2. Vous ne pouvez pas alerter un tiers de votre propre initiative. Prévenir un partenaire de l'audité, un client final, ou pire publier l'information, constitue une violation du secret, même animée des meilleures intentions. Le signalement extérieur n'appartient pas à l'auditeur.
3. Vous ne devez jamais exploiter la faille « pour vérifier ». Tester activement une vulnérabilité sort du cadre d'un audit ISO 27001 (audit de conformité, pas test d'intrusion) et peut, juridiquement, vous exposer au titre de l'accès non autorisé à un système.
4. Vous ne pouvez pas conserver la faille « pour vos archives » sans protection. Garder dans un coin de disque la description d'une vulnérabilité exploitable d'un ancien client est une bombe à retardement contractuelle et réglementaire.

Le réflexe juste tient en une phrase : tout remonter en interne, dans le périmètre, par écrit ; ne rien sortir, ne rien tester, ne rien garder sans protection ni sans nécessité.

Les informations que vous manipulez ne sont pas toujours purement techniques. Dès qu'apparaissent des données à caractère personnel — listes d'utilisateurs, logs nominatifs, fichiers RH, données clients de l'audité — vous entrez dans le champ du Règlement général sur la protection des données.

L'article 32 du RGPD impose au responsable de traitement et à ses sous-traitants des mesures techniques et organisationnelles appropriées pour sécuriser les données. En tant qu'auditeur accédant à ces données, vous pouvez être qualifié de sous-traitant au sens du règlement, avec les obligations afférentes : encadrement contractuel du traitement, sécurité des supports, durée de conservation limitée, suppression en fin de mission.

Concrètement, cela impose de :

• Chiffrer systématiquement le poste de travail et tout support contenant des éléments d'audit ;
• Ne collecter que les données strictement nécessaires à la mission (minimisation) ;
• Définir une durée de conservation et purger ensuite ;
• Notifier sans délai l'audité en cas de compromission de vos propres supports.

Le paradoxe est cruel : l'auditeur qui évalue la sécurité des autres devient lui-même un point de fuite potentiel s'il néglige la sienne.

Le risque le plus probable n'est pas la malveillance, c'est l'accident. Un ordinateur portable volé dans un train avec les rapports d'audit non chiffrés. Une sauvegarde cloud mal configurée. Un e-mail envoyé au mauvais destinataire avec, en pièce jointe, la liste des vulnérabilités d'un client. Une clé USB perdue.

Dans chacun de ces cas, votre responsabilité est directement engagée : vous étiez le gardien d'informations confidentielles, et la fuite provient de vous. Les conséquences peuvent inclure la mise en cause contractuelle de l'audité, son préjudice si la fuite est exploitée, et — si des données personnelles sont concernées — une exposition au titre du RGPD.

Deux protections s'imposent face à ce risque spécifique :

• La garantie atteinte involontaire à la confidentialité, intégrée à une RC Pro bien construite, qui couvre les conséquences d'une divulgation accidentelle d'informations confidentielles ;
• Une assurance cyber, qui prend en charge la gestion d'un incident touchant vos propres systèmes : investigation, notification, frais de remédiation, et l'assistance juridique RGPD.

Pour un auditeur indépendant, ces deux garanties forment le socle minimal de protection. Retrouvez les couvertures spécifiquement calibrées pour les risques de votre métier sur la page Auditeur ISO 27001.