Audit de cybersécurité : ce qu'il regarde, comment il se déroule, ce qu'il coûte
La plupart des dirigeants qui nous appellent après un incident nous disent la même phrase : « on pensait être couverts ». Ils avaient un antivirus, une sauvegarde quelque part, et un prestataire qui passait de temps en temps. Aucun d'eux n'avait jamais fait vérifier l'ensemble.
Un audit de cybersécurité sert à ça. Il établit un état des lieux de votre système d'information, identifie ce qui est réellement exposé, et hiérarchise ce qu'il faut corriger en premier. C'est un diagnostic, pas une vente de solution.
Voici comment il se déroule concrètement.
Les trois types d'audit, et lequel vous concerne
Le terme « audit de sécurité informatique » recouvre trois exercices différents. Ils ne se valent pas et ne coûtent pas la même chose.
L'audit organisationnel examine vos pratiques : qui a accès à quoi, comment les mots de passe sont gérés, ce qui se passe quand un salarié quitte l'entreprise, si les sauvegardes sont testées, s'il existe une procédure en cas d'incident. Il ne demande aucun outillage technique lourd. C'est le point de départ pour la quasi-totalité des PME, et c'est celui qui remonte le plus de failles réelles.
L'audit technique analyse la configuration de votre infrastructure : postes de travail, serveurs, pare-feu, réseau, droits d'accès dans l'annuaire, niveau de mise à jour, exposition des services sur Internet. Il détecte les vulnérabilités connues et les erreurs de paramétrage.
Le test d'intrusion simule une attaque réelle. Un spécialiste tente d'entrer dans votre système comme le ferait un attaquant. C'est l'exercice le plus révélateur, mais aussi le plus cher, et il n'a de sens qu'après avoir corrigé ce que les deux premiers auront trouvé. Faire un test d'intrusion sur un système dont on sait déjà qu'il n'est pas à jour revient à payer pour se faire confirmer l'évidence.
Pour une entreprise de 5 à 50 postes, l'ordre est presque toujours le même : organisationnel, puis technique, puis test d'intrusion si le contexte le justifie.
Ce qu'un audit regarde vraiment
Un audit sérieux couvre six domaines. Si le prestataire n'en aborde que deux ou trois, ce n'est pas un audit, c'est un devis déguisé.
Les accès. Qui peut ouvrir quoi. Les comptes actifs d'anciens salariés sont la première anomalie que nous trouvons, dans à peu près une entreprise sur deux. L'authentification multifacteur est-elle en place sur la messagerie et sur les accès distants ?
Les postes et les serveurs. Niveau de mise à jour du système et des logiciels, présence d'une solution de détection sur les postes, comptes administrateurs locaux, chiffrement des disques des portables.
Le réseau. Configuration du pare-feu, ouverture de ports vers l'extérieur, séparation entre le réseau bureautique et les équipements sensibles, sécurité du Wi-Fi, sécurisation des accès à distance.
Les sauvegardes. C'est le point où les surprises sont les plus fréquentes. Une sauvegarde qui tourne n'est pas une sauvegarde qui fonctionne. La question est : quand avez-vous restauré pour de vrai la dernière fois ? Et une copie est-elle isolée du réseau, pour survivre à un rançongiciel qui chiffrerait tout ce qu'il atteint ?
La messagerie. Elle reste la porte d'entrée majoritaire. Filtrage des pièces jointes, protection contre l'usurpation de domaine, règles de transfert automatique posées à l'insu de l'entreprise.
Les pratiques des équipes. Réutilisation de mots de passe, usage d'outils personnels pour des documents professionnels, réaction face à un message suspect. Sans cette partie, l'audit est incomplet : une part importante des incidents commence par un clic.
Comment se déroule un audit
Chez AramisGroup, un audit de cybersécurité tient en quatre temps et s'étale sur deux à quatre semaines selon la taille du parc.
Un entretien de cadrage. Une heure avec le dirigeant et la personne qui gère l'informatique. On y définit le périmètre, on identifie ce qui est vital pour l'activité, et on liste ce qu'il faut absolument protéger. Une entreprise qui perd son ERP pendant trois jours et une entreprise qui perd ses fichiers de production pendant trois jours n'ont pas les mêmes priorités.
La collecte. Nous relevons la configuration réelle : inventaire du parc, droits d'accès, règles du pare-feu, état des sauvegardes, paramétrage de la messagerie. Cette phase est transparente pour vos équipes et n'interrompt pas l'activité.
L'analyse. Chaque écart est classé selon deux critères : la probabilité qu'il soit exploité, et l'impact sur votre activité s'il l'est. C'est ce croisement qui produit la hiérarchisation. Sans lui, un audit accouche d'une liste de cinquante points que personne ne traitera jamais.
La restitution. Un rendez-vous d'une heure et un rapport écrit. Le rapport contient un état des lieux, les failles classées par priorité, et un plan d'action chiffré avec des échéances. Il est rédigé pour être lu par un dirigeant, pas seulement par un technicien.
Combien coûte un audit de cybersécurité
Les prix du marché varient énormément, parce que le mot « audit » recouvre des prestations très différentes.
Pour une PME de 10 à 50 postes, un audit organisationnel et technique se situe généralement entre 2 000 et 6 000 euros selon la complexité de l'infrastructure et le nombre de sites. Un test d'intrusion se facture à part, à partir de 4 000 à 5 000 euros pour un périmètre restreint.
Méfiez-vous de deux extrêmes. Un audit à quelques centaines d'euros est un questionnaire automatisé qui ne verra rien. Un audit à plusieurs dizaines de milliers d'euros est calibré pour des ETI et des groupes, pas pour une PME.
AramisGroup propose un premier audit de cybersécurité gratuit. Il ne remplace pas un audit technique complet, mais il donne en moins d'une heure un état des lieux et des recommandations hiérarchisées. Beaucoup d'entreprises n'ont pas besoin d'autre chose pour corriger 80 % de ce qui les expose.
Quand faire auditer son système d'information
Il n'existe pas de fréquence réglementaire pour la majorité des entreprises. Dans les faits, quatre situations justifient un audit.
Après un incident, même mineur. Un phishing qui a fonctionné sur un seul poste indique presque toujours un problème plus large.
Avant ou après un changement d'infrastructure : migration vers le cloud, changement de prestataire, ouverture d'un site, croissance rapide des effectifs.
Quand un client vous le demande. C'est de plus en plus fréquent. Les entreprises soumises à la directive NIS2 doivent sécuriser leur chaîne de fournisseurs et répercutent leurs exigences par contrat. Une PME de 20 personnes qui travaille avec un hôpital ou une collectivité va recevoir un questionnaire de sécurité, et devra prouver ce qu'elle avance.
Et à défaut, tous les deux ans. Une infrastructure vit : des comptes se créent, des règles s'accumulent, des logiciels vieillissent.
Faire auditer son système d'information en Île-de-France et en PACA
Un audit demande de voir l'infrastructure, pas seulement de la décrire. Nous intervenons sur site.
Depuis notre siège de Saint-Pierre-du-Perray, nous couvrons l'Essonne, la Seine-et-Marne et l'ensemble de la région parisienne. Nos clients sont des TPE, des PME, des professions libérales et des collectivités locales, pour la plupart sans responsable informatique interne. Voir notre agence Île-de-France.
Depuis notre agence de Marseille, nous intervenons sur les Bouches-du-Rhône et la région PACA : Aix-en-Provence, Aubagne, Vitrolles, Martigues, ainsi que les zones industrielles et tertiaires du département. Voir notre agence de Marseille.
Dans les deux cas, la proximité change surtout ce qui se passe après l'audit. Un rapport sans personne pour aider à le mettre en œuvre finit dans un tiroir.
Questions fréquentes
L'audit fait-il partie de la cybersécurité ? Il en est le point de départ. Sans état des lieux, les investissements de sécurité se font au hasard : on achète un outil qui protège d'un risque déjà couvert pendant qu'une faille béante reste ouverte ailleurs.
Combien de temps dure un audit de cybersécurité ? Deux à quatre semaines entre le cadrage et la restitution pour une PME classique, dont deux à trois jours de travail effectif. Le délai vient surtout de la disponibilité des interlocuteurs.
Faut-il interrompre l'activité pendant l'audit ? Non. La collecte se fait en lecture seule sur l'infrastructure. Un test d'intrusion demande en revanche un créneau convenu à l'avance et une autorisation écrite.
Que contient le rapport d'audit ? Un état des lieux du système d'information, la liste des vulnérabilités classées par priorité, et un plan d'action chiffré avec des échéances. Il est votre propriété et reste utilisable si vous décidez de travailler avec un autre prestataire.
Mon prestataire informatique actuel peut-il auditer son propre travail ? Il peut, mais l'exercice a une limite évidente : on trouve rarement ses propres erreurs. Un regard extérieur remonte des points qu'un prestataire en place a fini par considérer comme normaux.
Un audit garantit-il que je ne serai jamais attaqué ? Non. Il réduit la surface exposée et vous prépare à réagir. La différence entre une entreprise auditée et une autre ne se joue pas sur le fait d'être attaqué, mais sur le temps qu'il faut pour redémarrer.
Faire le point sur votre niveau de sécurité
En moins d'une heure, nos experts évaluent votre système d'information et vous remettent un rapport de recommandations hiérarchisées. Sans engagement.
Pour aller plus loin sur notre approche, voir notre page cybersécurité pour TPE, PME et collectivités.
Note de relecture avant publication
Trois éléments sont à valider par AramisGroup avant mise en ligne, parce qu'ils engagent le commercial et l'opérationnel :
1. Les fourchettes de prix. Les montants indiqués sont des ordres de grandeur du marché français pour une PME. À confirmer ou à ajuster par la direction commerciale. Si AramisGroup ne veut pas afficher de prix, remplacer le paragraphe par une explication des facteurs qui font varier le devis — mais ne pas supprimer la section : « audit cybersécurité prix » est une requête réelle, et la page qui y répond gagne des positions.
2. Le délai de deux à quatre semaines et la durée d'intervention. À caler sur la réalité opérationnelle.
3. La phrase sur les comptes d'anciens salariés « dans une entreprise sur deux ». À remplacer par un constat que l'équipe technique peut assumer, ou à retirer. Ne pas laisser u