Audit de configuration
		Les audits de configuration permettent d'expertiser l'architecture technique déployée et de mesurer la conformité des configurations des éléments qui la composent (serveurs, bases de données, équipements réseau, pare-feu, autocommutateurs privés, etc.) avec la politique de sécurité définie et les règles de l'art en la matière. Ils en exposent les points faibles de l'architecture et se concentrent sur les actions à entreprendre pour mettre en œuvre un processus de sécurisation par couche.
		La démarche
		Les audits de configuration sont intrinsèquement fonction de la nature du composant ou de l'architecture à analyser. Lorsqu'ils ciblent des applicatifs ou des systèmes (serveurs, équipements réseaux, etc.), ils requièrent un accès total qui permettra soit d'analyser la configuration manuellement soit d'exécuter un script automatisant la collecte des informations pertinentes. Lorsqu'ils ciblent des composants dont la fonction même est partie prenante dans une architecture (pare-feu, architectures Web 3 tiers, architectures de courrier électronique, …), les audits nécessitent d'analyser l'ensemble des parties concernées (architecture réseau et politique de filtrage pour les pare-feu par exemple). La réalisation d'un audit est par nature non destructrice (contrairement à certaines étapes d'un test d'intrusion). Ainsi, elle ne vise pas à confirmer l'existence de vulnérabilités ou les possibilités d'exploitation subséquentes mais s'intéresse à présenter les points faibles d'un système ou d'une architecture et les actions permettant d'y remédier.
		Les résultats : rapports d'audit de configuration
		Pour chaque composant audité, un rapport détaillé d'audit de configuration est réalisé. Ce rapport présente tout d'abord les résultats de l'audit puis les mesures à mettre en œuvre pour corriger ou atténuer les failles identifiées. Sont ensuite détaillées, sous forme de fiches et pour chaque vulnérabilité décelée pendant l'audit, les recommandations à mettre en œuvre. Ces fiches exposent d'une part la description de la vulnérabilité et l'action corrective à réaliser et d'autre part des indicateurs spécifiques quant à la réalisation attendue : priorité de mise en œuvre, charge de réalisation, etc.