Un audit CIS Google Workspace se heurte d’emblée à une particularité du référentiel. Le Center for Internet Security publie en effet un benchmark v1.3.0 de 89 recommandations, 73 de niveau 1 et 16 de niveau 2. Or toutes portent la même mention : évaluation manuelle. Ainsi, le CIS ne fournit aucune procédure automatisée, aucun script, aucune commande.
Cette mention a donc une conséquence que peu de gens mesurent. Elle a créé un angle mort.
Ce que « manuel » produit sur le terrain
Un audit Google Workspace se fait aujourd’hui à la main. Un consultant ouvre la console d’administration, parcourt les écrans un par un, puis note ce qu’il voit. Comptez trois heures pour un domaine simple, et une journée pour un domaine structuré avec plusieurs unités organisationnelles.
Le résultat porte ensuite trois faiblesses. Elles ne se voient qu’au moment où quelqu’un d’extérieur le regarde.
Il dépend de celui qui a regardé. En effet, deux consultants ne parcourent pas les mêmes écrans dans le même ordre, et ne remarquent pas les mêmes réglages hérités. Sur 89 points répartis dans une douzaine de sections, l’attention baisse donc avant la fin.
Il n’est pas rejouable. Six mois plus tard, personne ne sait dire si un écart a été corrigé ou si le premier passage l’avait manqué. Par ailleurs, la comparaison repose sur des captures d’écran et de la mémoire.
Il ne produit aucune preuve. Un tableau rempli à la main ne constitue pas un élément probant. Ainsi, devant un auditeur ISO 27001, devant un client qui exige des garanties NIS2, ou devant un régulateur, il vaut déclaration et non constat.
L’angle mort du marché
Le benchmark Microsoft 365 est livré avec des procédures automatisées. Le marché s’en est donc emparé : outils, dépôts publics, prestations, tout existe.
Le benchmark Google Workspace n’en a aucune. Le marché a par conséquent suivi cette absence. Les organisations qui exploitent Workspace se retrouvent alors avec un référentiel solide, aligné sur les mêmes exigences réglementaires que son homologue Microsoft, et aucun moyen industriel de vérifier qu’elles s’y conforment.
Ce n’est pas un détail de périmètre. En effet, des dizaines de milliers d’organisations européennes, dont beaucoup de PME, d’ETI et de structures publiques, hébergent là leur messagerie, leurs documents et leur annuaire d’identités.
La mention manuelle décrit une documentation, pas une plateforme
C’est le point qui change tout. Le CIS documente des procédures d’audit, et il n’en a pas publié pour Google Workspace. Cela ne dit donc rien de ce que la plateforme elle-même sait restituer.
Google expose en effet l’état de configuration d’un domaine par voie applicative, en lecture seule. Le travail à fournir ne consiste pas à trouver ces interfaces. Il consiste à établir, recommandation par recommandation, laquelle rend le réglage exact que le benchmark demande de constater, et comment le juger. Ce travail de rattachement est long, et l’absence de procédures du CIS l’a précisément découragé.
Sur les 89 recommandations, 79 deviennent ainsi mesurables automatiquement. Les 10 restantes portent sur des décisions d’organisation. Elles restent donc attestées par une réponse motivée de l’exploitant, tracée au même titre que le reste.
Ce que le constat automatique apporte
Il est daté. Chaque collecte porte un horodatage, et l’écart entre deux collectes se lit directement. C’est en effet ce qu’un auditeur demande quand il veut savoir non pas si une mesure a été décidée, mais si elle a tenu.
Il est rejouable à l’identique. Le même dispositif relancé trois mois plus tard rend le même format de données. La comparaison devient alors mécanique.
Il est non intrusif. Aucune écriture, aucun agent installé, aucun script exécuté sur le domaine. De plus, l’accès accordé reste visible par l’administrateur du domaine, et il se retire en une action une fois la collecte terminée.
Pour une entité soumise à NIS2 ou à DORA, ces trois propriétés séparent précisément une déclaration de conformité d’une preuve de conformité.
La question à poser avant tout audit CIS Google Workspace
Si vous exploitez Google Workspace et qu’on vous propose un audit de sécurité, une seule question tranche : contre quel référentiel, et selon quelle méthode de constat.
Un audit qui se résume à un parcours de console produit un document. En revanche, un audit qui produit un état daté, rejouable et opposable produit une preuve. La différence ne se voit pas à la lecture du rapport. Elle se voit le jour où quelqu’un le conteste.
Tenovia couvre les 89 recommandations du CIS Google Workspace v1.3.0, en lecture seule, sans aucun script exécuté sur le domaine audité. Le détail figure enfin sur la page couverture CIS Google Workspace.