Les organisations r\u00e9glement\u00e9es exploitent des dizaines \u2014 parfois des centaines \u2014 d’applications, chacune pr\u00e9sentant un profil de risque diff\u00e9rent. Sans cadre de classification structur\u00e9, les ressources de s\u00e9curit\u00e9 sont trop dispers\u00e9es : les applications critiques b\u00e9n\u00e9ficient du m\u00eame niveau d’examen que les utilitaires internes, et les auditeurs se trouvent dans l’impossibilit\u00e9 d’\u00e9valuer si les contr\u00f4les sont proportionn\u00e9s au risque r\u00e9el.<\/p>\n
La classification des risques applicatifs est le socle qui relie le risque m\u00e9tier aux exigences de contr\u00f4le de s\u00e9curit\u00e9. Pour les auditeurs et les responsables de la conformit\u00e9, elle r\u00e9pond \u00e0 une question simple : l’organisation sait-elle quelles applications comptent le plus, et applique-t-elle ses contr\u00f4les en cons\u00e9quence ?<\/strong><\/p>\n Les r\u00e9gulateurs l’attendent de plus en plus. DORA (Digital Operational Resilience Act) impose aux entit\u00e9s financi\u00e8res de classer leurs actifs informatiques selon leur criticit\u00e9. NIS2 exige des mesures de s\u00e9curit\u00e9 proportionn\u00e9es au risque. PCI DSS impose que les environnements de donn\u00e9es de titulaires de cartes b\u00e9n\u00e9ficient de contr\u00f4les renforc\u00e9s. Sans cadre de classification d\u00e9fendable, une organisation ne peut d\u00e9montrer sa conformit\u00e9 \u00e0 aucun de ces r\u00e9gimes.<\/p>\n Un cadre de classification bien mis en \u0153uvre pr\u00e9vient \u00e9galement deux d\u00e9faillances d’audit courantes : la surclassification (o\u00f9 tout est \u00e9tiquet\u00e9 \u00ab critique \u00bb et o\u00f9 les ressources sont gaspill\u00e9es) et la sous-classification (o\u00f9 des applications r\u00e9ellement critiques sont trait\u00e9es comme ordinaires).<\/p>\n Un cadre de classification robuste \u00e9value les applications selon plusieurs dimensions. Aucun crit\u00e8re n’est suffisant \u00e0 lui seul \u2014 la classification doit refl\u00e9ter le profil de risque combin\u00e9.<\/p>\n La nature des donn\u00e9es trait\u00e9es, stock\u00e9es ou transmises par l’application est le principal facteur de classification. \u00c0 prendre en compte :<\/p>\n Les applications qui rel\u00e8vent de mandats r\u00e9glementaires sp\u00e9cifiques comportent des obligations de conformit\u00e9 inh\u00e9rentes :<\/p>\n Dans quelle mesure l’application est-elle essentielle au fonctionnement continu de l’activit\u00e9 ? \u00c0 prendre en compte :<\/p>\n La surface d’attaque varie consid\u00e9rablement selon le mode d’acc\u00e8s \u00e0 l’application :<\/p>\n Les applications comportant de nombreuses int\u00e9grations pr\u00e9sentent un risque accru, car une compromission peut se propager :<\/p>\n Le mod\u00e8le \u00e0 quatre paliers suivant fournit un cadre pratique. Les organisations doivent adapter les crit\u00e8res sp\u00e9cifiques \u00e0 leur contexte, mais le principe de contr\u00f4les diff\u00e9renci\u00e9s doit \u00eatre pr\u00e9serv\u00e9.<\/p>\n L’objectif m\u00eame de la classification est de cr\u00e9er une correspondance d\u00e9fendable et proportionn\u00e9e entre le risque et les contr\u00f4les. Le principe est simple : les applications de palier sup\u00e9rieur exigent davantage de contr\u00f4les, des tests plus fr\u00e9quents, une gestion du changement plus stricte et une collecte de preuves plus rigoureuse<\/strong>.<\/p>\n Cette correspondance doit \u00eatre document\u00e9e dans une politique, et non laiss\u00e9e au jugement individuel. Les auditeurs rechercheront une norme claire et \u00e9crite qui pr\u00e9cise quels contr\u00f4les sont obligatoires \u00e0 chaque palier.<\/p>\n La classification n’est pas un exercice ponctuel. Elle requiert un mod\u00e8le de gouvernance qui d\u00e9finit la responsabilit\u00e9, la cadence de revue et les proc\u00e9dures d’escalade.<\/p>\n Le propri\u00e9taire de l’application<\/strong> (g\u00e9n\u00e9ralement un responsable de ligne m\u00e9tier ou un product owner) propose la classification initiale sur la base des crit\u00e8res ci-dessus. Cette responsabilit\u00e9 ne doit pas \u00eatre laiss\u00e9e aux seules \u00e9quipes de d\u00e9veloppement, qui peuvent manquer de visibilit\u00e9 sur les dimensions r\u00e9glementaires et m\u00e9tier du risque.<\/p>\n La classification propos\u00e9e doit \u00eatre examin\u00e9e et approuv\u00e9e par :<\/p>\n Lorsque le propri\u00e9taire de l’application et l’\u00e9quipe s\u00e9curit\u00e9 sont en d\u00e9saccord sur la classification, la question doit \u00eatre escalad\u00e9e au comit\u00e9 des risques ou au RSSI pour d\u00e9cision finale. Toutes les d\u00e9cisions d’escalade doivent \u00eatre document\u00e9es avec leur justification.<\/p>\n Les applications doivent \u00eatre reclass\u00e9es lorsque :<\/p>\n Lors de l’\u00e9valuation du cadre de classification des risques applicatifs d’une organisation, les auditeurs doivent v\u00e9rifier les points suivants :<\/p>\n Les constats suivants doivent susciter une pr\u00e9occupation imm\u00e9diate lors d’un audit :<\/p>\n Pour des recommandations connexes sur la gouvernance de la s\u00e9curit\u00e9 applicative et les pratiques d’audit, voir :<\/p>\nCrit\u00e8res de classification des risques<\/h2>\n
Sensibilit\u00e9 des donn\u00e9es<\/h3>\n
\n
P\u00e9rim\u00e8tre r\u00e9glementaire<\/h3>\n
\n
Criticit\u00e9 m\u00e9tier<\/h3>\n
\n
Exposition<\/h3>\n
\n
Complexit\u00e9 d’int\u00e9gration<\/h3>\n
\n
Paliers de classification<\/h2>\n
\n\n
\n \nPalier<\/th>\n Libell\u00e9<\/th>\n Crit\u00e8res<\/th>\n Exemples<\/th>\n Contr\u00f4les requis<\/th>\n<\/tr>\n<\/thead>\n \n Palier 1<\/strong><\/td>\n Critique<\/td>\n Traite des donn\u00e9es hautement sensibles (DCP \u00e0 grande \u00e9chelle, transactions financi\u00e8res) ; soumis \u00e0 plusieurs mandats r\u00e9glementaires ; expos\u00e9 au public ; critique pour l’activit\u00e9 avec un RTO inf\u00e9rieur \u00e0 4 heures ; int\u00e9grations tierces \u00e9tendues<\/td>\n Plateforme bancaire centrale, syst\u00e8me de traitement des paiements, portail de sant\u00e9 destin\u00e9 aux clients, plateforme de trading<\/td>\n Suite compl\u00e8te de tests de s\u00e9curit\u00e9 (SAST, DAST, SCA, tests d’intrusion) ; mod\u00e9lisation des menaces requise ; validation de s\u00e9curit\u00e9 pour chaque livraison ; surveillance continue ; revue d’audit trimestrielle<\/td>\n<\/tr>\n \n Palier 2<\/strong><\/td>\n \u00c9lev\u00e9<\/td>\n Traite des donn\u00e9es sensibles ; soumis \u00e0 au moins un mandat r\u00e9glementaire ; expos\u00e9 en externe avec authentification ; impact m\u00e9tier significatif en cas de compromission ; complexit\u00e9 d’int\u00e9gration mod\u00e9r\u00e9e<\/td>\n Syst\u00e8me de gestion de la relation client, plateforme RH avec DCP des salari\u00e9s, passerelle d’API partenaires, reporting financier interne<\/td>\n SAST et SCA \u00e0 chaque build ; DAST trimestriel ; tests d’intrusion annuels ; mod\u00e8le de menaces pour les changements majeurs ; revue de s\u00e9curit\u00e9 pour les livraisons importantes<\/td>\n<\/tr>\n \n Palier 3<\/strong><\/td>\n Mod\u00e9r\u00e9<\/td>\n Donn\u00e9es sensibles limit\u00e9es ; p\u00e9rim\u00e8tre r\u00e9glementaire direct minimal ; expos\u00e9 en interne ; impact m\u00e9tier mod\u00e9r\u00e9 ; int\u00e9grations limit\u00e9es<\/td>\n Outils internes de gestion de projet, intranet d’entreprise, syst\u00e8me de gestion documentaire, plateformes de communication interne<\/td>\n SAST et SCA \u00e0 chaque build ; DAST annuel ; revue de s\u00e9curit\u00e9 pour les changements d’architecture ; gestion du changement standard<\/td>\n<\/tr>\n \n Palier 4<\/strong><\/td>\n Faible<\/td>\n Aucune donn\u00e9e sensible ; aucun p\u00e9rim\u00e8tre r\u00e9glementaire direct ; expos\u00e9 en interne avec acc\u00e8s restreint ; faible impact m\u00e9tier ; syst\u00e8me isol\u00e9<\/td>\n Bacs \u00e0 sable de d\u00e9veloppement, wikis internes \u00e0 contenu non sensible, environnements de test (sans donn\u00e9es de production)<\/td>\n SCA pour les vuln\u00e9rabilit\u00e9s des d\u00e9pendances ; pratiques standard de codage s\u00e9curis\u00e9 ; revue p\u00e9riodique<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Comment la classification d\u00e9termine les exigences de contr\u00f4le de s\u00e9curit\u00e9<\/h2>\n
\n\n
\n \nDomaine de contr\u00f4le<\/th>\n Palier 1 (Critique)<\/th>\n Palier 2 (\u00c9lev\u00e9)<\/th>\n Palier 3 (Mod\u00e9r\u00e9)<\/th>\n Palier 4 (Faible)<\/th>\n<\/tr>\n<\/thead>\n \n Fr\u00e9quence SAST<\/strong><\/td>\n \u00c0 chaque commit \/ pull request<\/td>\n \u00c0 chaque build<\/td>\n \u00c0 chaque build<\/td>\n P\u00e9riodique \/ \u00e0 la demande<\/td>\n<\/tr>\n \n Fr\u00e9quence DAST<\/strong><\/td>\n Automatis\u00e9 hebdomadaire + avant chaque livraison<\/td>\n Trimestrielle<\/td>\n Annuelle<\/td>\n Non requise<\/td>\n<\/tr>\n \n Fr\u00e9quence SCA<\/strong><\/td>\n Surveillance continue<\/td>\n \u00c0 chaque build<\/td>\n \u00c0 chaque build<\/td>\n Trimestrielle<\/td>\n<\/tr>\n \n Tests d’intrusion<\/strong><\/td>\n Semestriels (au minimum)<\/td>\n Annuels<\/td>\n Fond\u00e9s sur le risque \/ biennaux<\/td>\n Non requis<\/td>\n<\/tr>\n \n Mod\u00e9lisation des menaces<\/strong><\/td>\n Requise ; mise \u00e0 jour \u00e0 chaque changement majeur<\/td>\n Requise pour les changements majeurs<\/td>\n Recommand\u00e9e<\/td>\n Non requise<\/td>\n<\/tr>\n \n Approbation des livraisons<\/strong><\/td>\n Validation du responsable s\u00e9curit\u00e9 requise<\/td>\n Revue de s\u00e9curit\u00e9 pour les changements significatifs<\/td>\n Gestion du changement standard<\/td>\n Gestion du changement standard<\/td>\n<\/tr>\n \n Conservation des preuves<\/strong><\/td>\n 7 ans (ou minimum r\u00e9glementaire)<\/td>\n 5 ans<\/td>\n 3 ans<\/td>\n 1 an<\/td>\n<\/tr>\n \n Cadence de revue d’audit<\/strong><\/td>\n Trimestrielle<\/td>\n Semestrielle<\/td>\n Annuelle<\/td>\n Dans le cadre de la revue p\u00e9riodique du programme<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Mod\u00e8le de gouvernance de la classification<\/h2>\n
Qui classe<\/h3>\n
Qui examine et approuve<\/h3>\n
\n
Processus d’escalade<\/h3>\n
D\u00e9clencheurs de reclassement<\/h3>\n
\n
Ce que les auditeurs doivent v\u00e9rifier<\/h2>\n
\n
Signaux d’alerte<\/h2>\n
\n
Pour aller plus loin<\/h2>\n
\n
Ressources connexes pour les auditeurs<\/h3>\n