SéQCure - Vous avez un secteur « GIA » en place? L'Auditeur aussi... et il prend des notes. - Parce que... c'est l'épisode 0x354!

• 13 et 14 novembre 2026 - Worldwide - DEATHCon
• 16 au 19 novembre - Rennes, France - European Cyber Week 2026
• 25 et 26 février 2027 - Québec, Canada - SéQCure 2027
• 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027
• I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
• 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
• Boostsecurity - Dazio
• 5 novembre 2026 - Montréal, Canada - CISO Open Mic Montréal 2026

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

La perception de l’audit démystifiée

Dans cet épisode spécial Sécur du Polysécure, Nico reçoit Vincent Groleau pour discuter de sa conférence présentée lors de l’événement. Vincent, spécialiste en audit et en gestion des identités et des accès (GIA), s’attaque d’emblée à la caricature souvent associée aux auditeurs, perçus comme des gros méchants qui viennent taper sur les doigts. Il tient à rétablir les faits en expliquant que l’auditeur ne vient pas vérifier tous les petits détails des bonnes pratiques mises en place. Son objectif est plutôt de déterminer si les systèmes dans la portée d’audit, qu’ils soient administratifs ou financiers, sont exposés à un danger. Il précise qu’il n’est pas nécessaire d’avoir la Cadillac en matière de pratiques. Ce qui compte, c’est d’avoir des contrôles suffisants, une surveillance assidue et une pratique vivante qui s’intègre réellement aux opérations plutôt qu’un mécanisme maintenu artificiellement.

Audit interne et audit externe deux missions distinctes

Vincent apporte une nuance importante entre l’audit interne et l’audit externe. L’audit interne veut s’assurer que ce qui a été décrit dans les encadrements, les standards et les pratiques correspond à ce qui se fait réellement dans l’organisation, en confrontant le tout aux bonnes pratiques. L’audit externe, quant à lui, se limite aux applications financières et au traitement des données financières, qu’il s’agisse de saisie, d’opération, de modification, de suppression ou de transit. Son rôle est de valider que la pratique opérée est suffisante et efficace, même si elle ne correspond pas parfaitement à ce qui est écrit.

La gestion des accès comme première et dernière ligne de défense

Nico souligne que la GIA est le nerf de la guerre dans les systèmes informatiques actuels, car posséder les identités donne la capacité d’entrer dans les systèmes et de confirmer que les personnes effectuant des opérations financières y ont été légitimement autorisées. Vincent partage cette vision et utilise l’image des films américains où il est inscrit « first line of defense » dans les bureaux de la CIA. Pour lui, les accès sont la première et la dernière ligne de défense. Il rejette l’idée que la gestion des changements serait le nerf de la guerre, en référence au film Superman 3 où un développeur transfère des demi-sous dans son propre compte. Si une telle fraude est possible, c’est que la gestion des accès a échoué à l’en empêcher. L’autorisation est donc à la source de tout.

Un cycle de vie vivant pour les accès

Vincent décrit le cycle de vie complet de la gestion des accès, de l’embauche jusqu’au départ ou à la retraite de l’employé. On embauche des gens avec des rôles et des responsabilités, on gère des groupes de sécurité, on s’assure d’une chaîne d’approbation saine au bon niveau hiérarchique, impliquant le propriétaire de la donnée plutôt que seulement le gestionnaire immédiat. La gestion des accès doit devenir un organe vivant qui s’ajuste, se modifie et respire avec l’employé. Vincent admet que la pratique n’est pas parfaite, avec s