Évaluation de cybersécurité au Rwanda

Qu’est-ce qu’une évaluation de cybersécurité, et qui en a besoin

C’est un examen de votre réseau, de vos appareils, identités, messagerie, services cloud, sauvegardes et politiques, jugés au regard de la façon dont les attaques réussissent réellement. Le résultat est un rapport classé par risque et un plan priorisé. Elle convient aux organisations qui n’ont jamais eu d’examen indépendant, à celles qui préparent un audit ou une visite du régulateur, et à celles qui viennent de subir un incident et veulent savoir ce qui est encore exposé. C’est aussi la première étape de la plupart de nos travaux de cybersécurité.

Le problème qu’elle résout

Sans évaluation, les dépenses de sécurité vont souvent à ce qui est le plus facile à acheter ou le mieux vendu, plutôt qu’à ce qui est le plus exposé. En pratique, les plus grands risques sont généralement basiques : authentification multifacteur non imposée, serveurs non mis à jour, mots de passe administrateur partagés, sauvegardes accessibles à un attaquant. Une évaluation réoriente d’abord le budget et les efforts vers ces failles, et vous fournit des preuves à présenter à un conseil d’administration, un bailleur ou un régulateur montrant que le risque est géré délibérément.

Les référentiels utilisés

Nous n’inventons pas notre propre liste de contrôle. Les évaluations s’appuient sur deux référentiels largement utilisés et librement accessibles.

Les CIS Critical Security Controls (version 8.1) définissent 18 contrôles, regroupés pour que les petites organisations commencent par les mesures dites d’hygiène informatique essentielle : inventaire des appareils et logiciels, configuration sécurisée, gestion des comptes et des accès, et récupération des données.

Le NIST Cybersecurity Framework 2.0, publié en 2024, organise la sécurité en résultats attendus. Sa nouvelle fonction Govern couvre la stratégie, les rôles et la supervision, ce qui est utile pour rendre compte à un conseil d’administration.

Pour les établissements réglementés, les constats sont aussi rapprochés du règlement de la Banque nationale du Rwanda sur la cybersécurité, et pour les données personnelles, de la loi rwandaise sur la protection des données.

Ce que comprend le travail

1. Cadrage. Nous convenons des sites, systèmes, services cloud et données sensibles concernés, et des tests que vous autorisez.
2. Entretiens. De courts échanges avec la direction, la comptabilité et la personne qui gère l’informatique, sur le fonctionnement réel.
3. Examen technique. Configuration du pare-feu et du réseau, couverture de la protection des postes, niveau des correctifs, comptes utilisateurs et administrateurs, paramètres de Microsoft 365 ou d’autres services cloud, sécurité de la messagerie et sauvegardes.
4. Tests sûrs. Confirmer qu’un constat est réellement exploitable lorsque cela peut se faire sans risque pour les systèmes en production.
5. Classement des risques. Chaque constat est noté selon sa probabilité et son impact, avec une correction recommandée et un effort approximatif.
6. Rapport et présentation. Nous présentons les constats et convenons des priorités avec vous.

Ce qui est inclus et ce qui ne l’est pas

Délais habituels et ce qui détermine le coût

L’évaluation d’un seul bureau prend généralement trois à cinq jours ouvrés. Le coût dépend de la taille de l’organisation, du nombre de sites, systèmes et services cloud concernés, et de la profondeur : un examen technique ciblé coûte moins cher qu’un audit complet qui examine aussi les politiques, les processus et les accès des fournisseurs.

Outils généralement utilisés

L’examen de la configuration des pare-feu, commutateurs et paramètres de Microsoft 365 ou Google Workspace ; des analyses de vulnérabilités authentifiées sur les serveurs et postes, réalisées à des moments convenus ; la vérification de l’exposition externe, c’est-à-dire l’image de votre organisation vue d’internet ; la comparaison des comptes utilisateurs et administrateurs avec votre liste de personnel ; et un test de restauration depuis la sauvegarde. Les outils sont choisis pour être sans danger sur les systèmes en production. Le rapport indique exactement ce qui a été testé et ce qui ne l’a pas été, pour que ses limites soient claires.

Les erreurs que nous voyons souvent

Dépenser pour le produit de sécurité le plus visible plutôt que pour la faille la plus risquée. Considérer comme toujours valable une évaluation vieille de plusieurs années malgré de nouveaux systèmes, de nouveaux employés et de nouvelles menaces. Classer le rapport sans plan de correction, si bien que les risques connus restent ouverts. Et limiter l’évaluation au réseau du bureau, alors que la messagerie et les services cloud, où commencent aujourd’hui la plupart des attaques, ne sont pas examinés.