J'ai audité ma propre infrastructure comme on auditerait un petit SI de production : revue des clauses 4 à 10 de la norme et évaluation des contrôles applicables de l'Annexe A (93 mesures, ISO 27001:2022), avec une échelle de maturité par mesure, un registre des risques et une logique d'amélioration continue (PDCA). Le premier audit avait acté 3 non-conformités majeures. Plutôt que d'en rester au constat, j'ai déroulé le plan de traitement, prouvé chaque remédiation par des tests positifs et négatifs, puis formalisé l'ensemble en un SMSI documenté : politique de sécurité, registre de 12 scénarios de risques, déclaration d'applicabilité complète, indicateurs de surveillance et revue planifiée.
Progression entre l'audit initial et la revue de suivi. Chaque point gagné correspond à une remédiation exécutée et prouvée, pas à une réévaluation complaisante.
93 mesures de l'Annexe A évaluées une à une. Sur le périmètre applicable (79 mesures) : ~94 % appliquées ou partiellement appliquées. Chaque « non appliqué » fait l'objet d'une acceptation de risque écrite et motivée, pour ne laisser aucun angle mort.
Constat initial : les sauvegardes résidaient sur le même hyperviseur physique que les systèmes sauvegardés : un incident matériel unique pouvait détruire simultanément la production et ses sauvegardes.
Référence : A.8.13 (sauvegarde des informations), règle 3-2-1 non respectée.
Remédiation exécutée : stratégie 3-2-1 désormais effective : deux pipelines de sauvegarde croisés entre hôtes, chiffrement local (GPG AES-256) avant toute sortie du site, copie hors site quotidienne chez un hébergeur cloud, rétention 30 j / 365 j. Restauration prouvée trois fois (en local, entre hôtes et depuis le cloud), avec vérification d'intégrité de bout en bout.
Constat : le serveur web exposé à Internet réside sur le LAN plutôt que dans une DMZ : une compromission de ce serveur offrirait un pivot vers le reste du réseau.
Référence : A.8.22 (ségrégation des réseaux), défense en profondeur incomplète sur ce segment.
Décision : après analyse coût/risque (contexte homelab, contraintes budget), le risque est accepté par écrit avec compensations vérifiées : durcissement de l'hôte, filtrage sortant en liste blanche, clés de déploiement en lecture seule, supervision SIEM et bannissement automatisé. Réouverture prévue si le contexte change (VLAN DMZ déjà provisionné).
Constat : l'ensemble du routage inter-VLAN et du filtrage repose sur une instance unique du pare-feu, sans redondance : sa panne interrompt la segmentation et la connectivité de toutes les zones.
Référence : A.8.14 (redondance des moyens de traitement de l'information).
Décision : risque accepté (impact disponibilité uniquement, pas de perte de données), documenté au registre des risques ; compensation : configuration sauvegardée et capacité de reconstruction prouvée par les tests de restauration.
Publier ses propres non-conformités, ce n'est pas avouer une faiblesse. C'est justement le travail de gouvernance : repérer les écarts, les classer selon le risque, choisir entre corriger, planifier ou accepter le risque par écrit, puis prouver que ce qui a été décidé a bien été fait. Entre les deux itérations, une non-conformité majeure a été levée, restaurations à l'appui, et les risques restants sont assumés noir sur blanc. Pour moi, c'est ce qui sépare un lab vraiment sécurisé d'une conformité de façade.
Synthèse volontairement sanitisée : le dossier SMSI complet (politique, registre des risques, déclaration d'applicabilité détaillée sur les 93 mesures, indicateurs, plan d'amélioration) contient des informations techniques sur l'infrastructure et n'est pas publié. Il peut être présenté en entretien.