Un auditeur de sécurité apporte une assurance indépendante que les mesures de sécurité d'une organisation existent, sont bien conçues et fonctionnent réellement comme prévu. Là où de nombreux métiers de la sécurité construisent ou défendent des systèmes, l'auditeur les examine avec un recul délibéré, en vérifiant si les protections qu'une organisation prétend avoir mises en place sont réelles et efficaces. Le travail s'ancre dans un référentiel ou une norme, comme ISO/IEC 27001, les référentiels du NIST, les critères SOC 2, PCI DSS ou une réglementation sectorielle, et les jugements de l'auditeur s'expriment sous forme de constats étayés par des preuves plutôt que sous forme d'opinions. Cette indépendance est ce qui donne à un audit toute sa valeur pour les conseils d'administration, les régulateurs, les clients et les partenaires commerciaux.
Au quotidien, le métier suit un cycle bien connu. L'auditeur cadre une mission, identifie les contrôles concernés et demande des preuves : configurations, listes d'accès, tickets de changement, journaux, politiques et comptes rendus de revues antérieures. Il procède ensuite à des tests, en examinant des documents, en réinspectant des paramètres système, en rejouant un contrôle, en observant un processus ou en interrogeant les personnes qui le pilotent, puis il compare ses constatations aux critères applicables. Les écarts deviennent des constats, chacun rédigé avec sa situation, le critère qu'il ne respecte pas, la cause sous-jacente et une recommandation, et noté selon sa gravité. L'auditeur suit la remédiation et reteste souvent avant de clôturer les points. Une grande part du savoir-faire réside dans un échantillonnage judicieux, une documentation du travail telle qu'un autre professionnel pourrait le reproduire, et la capacité à distinguer une véritable faiblesse de contrôle d'une faiblesse cosmétique.
Le métier exige un mélange de culture technique et d'une pensée rigoureuse, fondée sur les preuves. Un auditeur a besoin d'une connaissance pratique suffisante des systèmes d'exploitation, des réseaux, de la gestion des identités et des accès, des plateformes cloud et des contrôles applicatifs pour poser des questions pertinentes et reconnaître une réponse faible, sans nécessairement exploiter ces systèmes lui-même. Les habitudes du métier comptent tout autant : documentation méthodique, scepticisme professionnel, écriture claire et sang-froid pour délivrer des constats inconfortables et les défendre avec calme. De nombreux auditeurs détiennent des certifications comme le CISA de l'ISACA, et certains y ajoutent le CIA ou une qualification d'auditeur principal ISO 27001 ; un parcours en audit interne de type comptable, en exploitation informatique ou en conformité est fréquent.
On entre généralement dans le domaine comme auditeur junior ou auditeur débutant au sein d'une fonction d'audit interne, dans un cabinet d'audit ou d'assurance externe, ou via une société de conseil, en apprenant la méthodologie sur de vraies missions avant de mener les siennes. L'évolution va vers auditeur senior, responsable d'audit, puis directeur de l'audit ou directeur de l'audit interne, avec des spécialisations possibles dans des domaines comme le cloud, la protection des données ou un secteur réglementé. Parce que le travail expose la personne aux contrôles de toute l'organisation, c'est aussi un excellent tremplin pour évoluer plus tard vers le risque, la conformité ou la direction de la sécurité.
L'auditeur se tient proche de ses métiers GRC voisins mais joue un rôle distinct. Un analyste conformité aide l'organisation à respecter ses obligations, un analyste risques évalue et priorise l'exposition, un analyste politiques rédige les règles et un responsable de programme GRC coordonne l'effort d'ensemble ; l'auditeur, par construction, se place à l'écart de tous et vérifie le résultat. Cette séparation des tâches est délibérée. Un auditeur évalue si les politiques sont suivies et si les contrôles fonctionnent, de sorte qu'il compromettrait l'indépendance de son rôle s'il possédait aussi les contrôles examinés.