Checklist d'audit de conformité pour systèmes de transfert

Un audit de conformité d'un système de transfert de fichiers en 2026 vérifie si le déploiement applique réellement les contrôles revendiqués dans vos politiques. Une checklist opérationnelle couvre huit domaines : cryptographie (AES-256-GCM au repos, TLS 1.3 en transit, cycle de vie des clés), contrôle d'accès (MFA, moindre privilège, timeouts de session), résidence des données (emplacements des serveurs, sous-traitants), journalisation et surveillance (piste d'audit par action, ingestion SIEM), rétention et suppression (correspondance politique, effacement cryptographique), diligence raisonnable tiers (SOC 2, ISO 27001 du fournisseur), réponse aux incidents (runbook testé, capacité de notification 24-72h) et formation des utilisateurs (révision annuelle, contenu par rôle).

Pourquoi cet audit diffère d'un audit IT générique

Les systèmes de transfert de fichiers se trouvent à une frontière : sous votre contrôle quand le personnel envoie, hors de votre contrôle quand les destinataires téléchargent. Un audit IT général peut vérifier le chiffrement des disques et les règles de pare-feu. Un audit de transfert de fichiers doit suivre le fichier à travers cette frontière. Le destinataire s'authentifie-t-il ? L'emplacement de téléchargement est-il contrôlé ? Le lien peut-il être transféré ? Que se passe-t-il après expiration ? L'audit s'appuie aussi sur les réglementations qui traitent spécifiquement le transfert de fichiers : RGPD articles 32 et 28, HIPAA 45 CFR 164.312(e) sur la sécurité des transmissions, PCI DSS exigence 4, et exigences de piste d'audit SOX section 404. Cadrer l'audit sur ces clauses spécifiques affine les conclusions.

Section cryptographie de la checklist

Vérifiez que les fichiers au repos sont chiffrés avec AES-256 en mode authentifié GCM ou CBC-HMAC. Vérifiez que le transport utilise TLS 1.3 ou TLS 1.2 avec des chiffrements forts (pas de RC4, 3DES, ni grade export). Pour les services en chiffrement de bout en bout, inspectez la dérivation des clés (PBKDF2 avec au moins 600 000 itérations, ou Argon2id avec des paramètres calibrés) et confirmez que les clés n'atteignent jamais le serveur en clair. Vérifiez la cadence de rotation des clés à longue durée de vie (90 jours pour les clés de session, annuellement pour les clés maîtres sur les systèmes KMS). Confirmez l'utilisation de HSM ou KMS pour les clés maîtres via journal d'audit ou attestation du fournisseur. Demandez la section cryptographique du rapport de test d'intrusion.

Contrôle d'accès et authentification

Inspectez les méthodes d'authentification disponibles. Le MFA doit être requis pour les comptes administrateurs et expéditeurs, avec prise en charge TOTP, WebAuthn ou notifications push. Le SSO via SAML 2.0 ou OIDC doit s'intégrer avec l'IdP de l'organisation (Okta, Azure AD, Google Workspace). Des timeouts de session de 15 à 30 minutes pour les utilisateurs inactifs correspondent à la pratique standard. Pour les destinataires : liens protégés par mot de passe, vérification email par destinataire, ou accès via SSO. Les liens partagés sans contrôle d'accès constituent une constatation. Vérifiez le modèle de rôles admin : la séparation entre administrateur système et réviseur d'audit empêche que la personne gérant les journaux puisse aussi les falsifier.

Résidence des données et sous-traitants

Confirmez la liste documentée des centres de données, leurs certifications (ISO 27001, SOC 2 Type II, SecNumCloud le cas échéant) et les pays où ils opèrent. Vérifiez que les sauvegardes restent dans la région requise. Obtenez la liste des sous-traitants et vérifiez la posture de conformité de chacun. Un fournisseur hébergé sur AWS Ireland avec un prestataire CDN américain dispose d'un sous-traitant CDN à investiguer. Testez les contrôles de localisation en envoyant un fichier et en inspectant les traces réseau avec Wireshark ou les DevTools du navigateur pour voir où vont réellement les octets. Les écarts entre les affirmations marketing et le comportement observé sont des constatations.

Journalisation, surveillance et alertes

Extrayez un échantillon de 30 jours de journaux d'audit. Vérifiez que chaque envoi, téléchargement, création de lien, expiration de lien, action admin et authentification échouée apparaît. Vérifiez l'intégrité par chaîne de hachage des entrées de journal. Confirmez que les journaux sont transmis à un SIEM (Splunk, Sentinel, Elastic, Datadog) ou exportables via API. Testez la récupération : demandez à l'admin de produire les journaux pour une plage de dates spécifique et mesurez le temps de réponse. Révisez les règles d'alerte : volumes de téléchargement inhabituels, accès depuis de nouvelles zones géographiques, changements de privilèges admin, et rafales MFA échouées doivent déclencher des alertes. L'absence d'alertes sur l'une de ces catégories est une constatation. Vérifiez que la rétention des journaux satisfait la règle applicable la plus longue (six ans HIPAA, sept ans SOX).

Contrôles de rétention et de suppression

La politique et la pratique divergent souvent. Si la politique prévoit une rétention de 7 jours pour les transferts généraux et 30 jours pour les espaces projet, vérifiez que l'outil applique ces valeurs par défaut et qu'elles ne peuvent pas être modifiées sans action admin. Testez la suppression en envoyant un fichier, en attendant l'expiration, puis en tentant de le récupérer. Le fichier doit retourner une page 404 ou de lien expiré. Interrogez les mécanismes de suppression : la suppression au niveau fichier seule laisse des copies de sauvegarde, tandis que l'effacement cryptographique via destruction de clé satisfait immédiatement NIST SP 800-88. Confirmez la fonctionnalité de suspension légale en simulant une demande de conservation et en vérifiant que la suppression est suspendue.

Diligence raisonnable tiers

Collectez le rapport SOC 2 Type II le plus récent du fournisseur, le certificat ISO 27001, les certifications sectorielles pertinentes, le résumé des tests d'intrusion et l'Accord de traitement des données (DPA). Le rapport SOC 2 doit couvrir au moins les critères de services de confiance Sécurité et Confidentialité. Vérifiez le nom de l'auditeur (PwC, Deloitte, EY, KPMG, Schellman, BDO et firmes similaires). Vérifiez que le périmètre inclut le produit de transfert de fichiers, pas seulement l'informatique d'entreprise. Passez en revue les exceptions et les réponses de la direction. Un SOC 2 avec plusieurs exceptions non résolues sur la période d'audit est préoccupant. Vérifiez le fournisseur dans les bases de données de violations publiées par la FTC ou la CISA.

Réponse aux incidents et continuité d'activité

Demandez le plan de réponse aux incidents. Il doit nommer les rôles, les modes de contact, les niveaux d'escalade et les modèles de notification. Vérifiez qu'un exercice de simulation ou en conditions réelles a eu lieu dans les 12 derniers mois et examinez le rapport post-exercice. Confirmez le SLA de notification de violation du fournisseur dans le DPA : 24 à 72 heures est typique pour les clients réglementés. Testez en envoyant une question sécurité via le canal publié et en mesurant le temps de réponse. Vérifiez la continuité d'activité : fréquence de sauvegarde, engagements RPO/RTO, et basculement testé. Demandez quand s'est tenu le dernier exercice de reprise après sinistre et quels en ont été les résultats.

Clore l'audit

Traduisez les constatations en remédiations hiérarchisées. Les constatations critiques (chiffrement absent, pas de DPA, pas de plan de réponse aux incidents) bloquent l'utilisation jusqu'à correction. Les constatations élevées (contrôles de rétention insuffisants, journalisation partielle) nécessitent une correction sous 30 à 60 jours avec des contrôles compensatoires provisoires. Les constatations moyennes et faibles alimentent le prochain cycle d'audit. Réévaluez annuellement au minimum, plus fréquemment dans les environnements très changeants. Archivez le rapport d'audit avec les preuves justificatives dans un stockage inviolable pendant au moins aussi longtemps que la règle de rétention applicable la plus longue.

HexaTransfer publie son approche de chiffrement, son hébergement UE et son comportement de rétention pour les acheteurs qui souhaitent auditer avant d'utiliser. Essayez sur hexatransfer.com — gratuit, sans compte, 10 Go maximum.