Un aspect de cela est que recommander "anti-virus" pour tout est une option sûre, pour l'auditeur.
Les audits de sécurité ne concernent pas entièrement la sécurité technique réelle. Souvent, il s'agit aussi de limiter la responsabilité en cas de poursuite.
Disons que votre entreprise a été piratée et qu'une action collective a été intentée contre vous. Votre responsabilité spécifique peut être atténuée en fonction de la manière dont vous avez suivi les normes de l'industrie. Disons que les auditeurs n'ont pas recommandé l'AV sur ce serveur, donc vous ne l'installez pas.
Votre défense est que vous avez suivi les recommandations d'un auditeur respecté et que vous vous déchargez, pour ainsi dire. Accessoirement, c'est la Raison PRINCIPALE pour laquelle nous utilisons des auditeurs tiers. Notez que le transfert de responsabilité est souvent inclus dans le contrat que vous signez avec les auditeurs : si vous ne suivez pas leurs recommandations, tout vous incombe.
Eh bien, les avocats enquêteront ensuite sur l'auditeur en tant que co-défendeur possible. Dans notre situation hypothétique, le fait qu'ils n'aient pas recommandé l'AV sur un serveur particulier sera considéré comme un manque de rigueur. Cela seul leur nuirait dans les négociations, même si cela n'avait absolument aucun lien avec l'attaque réelle.
La seule chose fiscalement responsable à faire pour une société d'audit est de recommander une norme pour tous les serveurs, quel que soit le surface d'attaque réelle. Dans ce cas, AV sur tout. En d'autres termes, ils recommandent un marteau-piqueur même lorsque un scalpel est techniquement supérieur en raison de raisons juridiques.
Est-ce logique sur le plan technique ? Généralement non car cela augmente souvent les risques. Est-ce logique pour les avocats, un juge ou même un jury ? Absolument, ils ne sont pas techniquement compétents et incapables de comprendre les nuances. C'est pourquoi vous devez vous conformer.
@ewwhite vous a recommandé de parler avec l'auditeur à ce sujet. Je pense que c'est la mauvaise voie. Au lieu de cela, vous devriez parler avec l'avocat de votre entreprise pour obtenir leur opinion sur le fait de ne pas suivre ces demandes.
