Pour une PME ou une TPE, la sécurité informatique n’est plus une option, mais un enjeu vital. Un audit de sécurité permet d’identifier les failles, de mesurer le risque et d’évaluer la vulnérabilité d’un système d’information, du réseau ou de l’infrastructure.
Cette évaluation aide chaque entreprise à renforcer sa cybersécurité, à sécuriser son système informatique, à améliorer ses processus et à répondre aux exigences de conformité de son organisation. Elle offre aussi un cadre de confiance pour prendre des décisions éclairées sur les priorités de sécurisation à retenir.
Mais alors, qu’est-ce qu’un audit de sécurité informatique ?
Un audit sécurité informatique est une évaluation sérieuse du niveau de sécurité de l’entreprise. C’est un état des lieux dont la sécurité est l’objectif, pas un contrôle purement technique. Il permet de comparer les bonnes pratiques d’une entreprise avec celles attendues dans son secteur.
Il s’inscrit dans la sécurité de l’information au sens large. L’audit a pour but de déterminer si les outils, les accès, les usages et les règles internes mises en place permettent réellement de diminuer les menaces et les risques numériques quotidiens. Il ne s’agit pas seulement d’identifier des failles de sécurité ou des failles techniques mais de comprendre où et pourquoi l’entreprise est vulnérable, y compris sur le plan organisationnel et humain.
Concrètement, cet audit cybersécurité porte sur le système d’information au sens large : postes de travail, serveurs, applications métiers, comptes utilisateurs, sécurité des applications, sauvegardes, messagerie, accès à distance et éventuellement prestataires externes. Selon le contexte, l’analyse peut être globale ou réalisée sur un périmètre défini (Microsoft 365, ERP, site e-commerce ou réseau interne par exemple). Cette approche permet de tester la robustesse de chaque composant et d’identifier les points faibles qui pourraient être exploités.
Dans une petite entreprise comme une PME ou TPE, l’audit a une dimension très concrète et opérationnelle. Il permet de trier les mesures de sécurité qui sont réellement indispensables des actions sécuritaires qui rassurent mais sont peu efficaces. L’audit permet aussi d’avoir une vision claire des priorités : on sait dans quel ordre traiter les approches sécuritaires et on évite d’investir dans des outils performants mais inutiles si on ne commence pas par traiter les points sensibles. Cela aide à définir une stratégie adaptée, sans se disperser sur des détails secondaires.
Attention pourtant à ne pas confondre audit et simple scan automatique / test ponctuel. Un bon audit croise plusieurs critères : la configuration technique bien sûr mais aussi l’organisation interne de l’entreprise sur ces sujets de sécurité informatique et le niveau de sensibilisation des collaborateurs aux risques numériques ainsi que la gestion des droits et la capacité de réaction en cas d’incident. C’est cette approche exhaustive qui permet de délivrer un diagnostic fiable. La norme ISO 27001 peut d’ailleurs servir de référentiel pour structurer cette démarche de façon cohérente.
Pourquoi faire un audit de sécurité informatique dans une petite entreprise ?
Les petites entreprises ne sont pas plus intéressantes que les autres mais elles sont souvent moins préparées, ce qui en fait des cibles privilégiées pour les cybercriminels.
Moins de moyens, outils disparates, mauvaises habitudes prises dans l’urgence, forte dépendance à quelques personnes… autant de facteurs qui favorisent les incidents. Ce constat vaut dans tous les secteurs, de l’industrie à la santé en passant par les services.
L’audit permet d’objectiver le niveau de sécurité. Beaucoup de chefs d’entreprise raisonnent en se disant qu’ils sont « suffisamment protégés » parce qu’il y a un antivirus, que les mots de passe sont changés régulièrement ou qu’ils ont un prestataire pour intervenir en cas de panne. Ces éléments sont importants mais ne mesurent pas le niveau d’exposition réel et la capacité à contenir une cyberattaque.
La démarche permet également de minimiser l’impact sur l’activité. Un ransomware, une compromission de messagerie ou une suppression accidentelle de données peuvent paralyser la production, la relation client ou la facturation pendant plusieurs jours. Pour une TPE quelques heures d’arrêt suffisent déjà à avoir un impact financier significatif. Prévenir ces interruptions est souvent le premier levier pour protéger la continuité de l’activité.
Enfin, réaliser un audit de son environnement numérique permet de mieux répondre aux exigences des clients, partenaires et assureurs.
De plus en plus d’appels d’offre, contrats et polices cyber demandent des garanties minimales. Pouvoir apporter la preuve de vérifications et d’actions correctives engagées renforce la crédibilité. Les certifications et les réglementations deviennent alors des arguments concrets pour rassurer les interlocuteurs.
Quels sont les risques et vulnérabilités identifiés par l’audit de sécurité informatique ?
L’audit met ainsi en lumière les vulnérabilités techniques les plus fréquentes, souvent invisibles au quotidien mais favorisant une intrusion : logiciels non mis à jour, systèmes d’exploitation obsolètes, ports réseau exposés à l’internet sans raison, erreurs de configuration sur des services accessibles avec des configurations par défaut… Ces failles peuvent compromettre l’intégrité des données et ouvrir la porte à des attaques.
L’audit permet également de mettre en avant les dérives liées aux comptes et aux contrôles d’accès. Dans bien des PME, le temps a accumulé les accès sans véritable analyse de leurs besoins. Il existe ainsi des anciens comptes toujours actifs, des mots de passe trop faibles pour sécuriser un accès critique ou encore des privilèges d’administrateur accordés de manière trop large. Mieux encore, il n’existe pas d’authentification multifacteur sur un service essentiel. Les fournisseurs et les sous-traitants représentent aussi des points d’entrée potentiels qui doivent être vérifiés.
L’analyse ne porte pas uniquement sur l’infrastructure technique. Elle va révéler aussi des vulnérabilités organisationnelles : absence de procédure de sauvegarde régulièrement testée, plan de réponse aux incidents inexistant, cloisonnement insuffisant entre usages personnels et professionnels ou dépendance excessive à une seule personne pour administrer les outils nécessaires au fonctionnement de l’entreprise. Quand le développement de l’activité s’accélère, ces failles organisationnelles deviennent rapidement critiques.
Le facteur humain est déterminant et peut être difficile à évaluer du seul fait que l’on est « dans le flou ». L’audit va permettre d’effectuer une vérification sérieuse et montrer que ses équipes sont peu sensibilisées au phishing, qu’elles partagent des fichiers de façon risquée, utilisent les mêmes secrets (mots de passe ou clés d’accès) pour plusieurs services ou encore valident sans contrôle des demandes inhabituelles. Ces comportements ne sont pas là parce que les utilisateurs ne sont pas sérieux dans leur travail, mais tout simplement parce qu’ils évoluent dans un cadre trop flou. La sensibilisation des employés reste donc un axe de progrès incontournable.
Enfin, l’audit permet également d’identifier les risques liés à la conformité et la gouvernance : protection des données personnelles (RGPD), traçabilité des accès dans certains systèmes critiques, gestion des règles de conservation des données stockées ou partagées avec d’autres entreprises sous-traitantes, clauses demandées aux sous-traitants sur la sécurité de leurs propres outils ou localisation géographique où sont hébergées les données… Ce volet est essentiel car un incident de sécurité a souvent plus de conséquences juridiques et contractuelles à gérer qu’un impact technique sur le système d’information lui-même.
Quelles sont les différentes étapes d’un audit de sécurité informatique ?
Le périmètre, les actifs et les accès à auditer
Avant toute chose, il faut déterminer ce qui va être audité. Cette phase de cadrage est essentielle pour éviter de disperser les efforts sur des éléments secondaires.
Dans une petite structure, le périmètre peut ainsi comprendre le parc informatique, la messagerie, les outils collaboratifs, les solutions cloud, les sauvegardes, le pare-feu, le Wi-Fi, l’accès distant et les applications supportant l’activité. L’architecture globale doit être comprise pour repérer les zones d’exposition.
Si l’entreprise possède un atelier, un point de vente ou des objets connectés, ceux-ci peuvent également être audités. Le volet physique n’est pas à négliger, car un accès non contrôlé à un local peut suffire à contourner des protections numériques.
Par ailleurs, il est nécessaire d’identifier avec précision quels sont les actifs critiques. Il s’agit des fichiers contenant par exemple des données comptables, la base client, des documents RH ou commerciaux, des plans ou tout autre fichier stratégique comme un contrat ou le système de production. L’objectif n’est pas de classer tous ces actifs au même niveau mais bien de savoir quelle est la priorité à protéger en cas d’incident et quelles seraient les conséquences d’une indisponibilité ou pire d’une fuite de données.
Enfin un troisième volet important concerne les accès. L’auditeur va s’intéresser aux personnes qui accèdent à quoi, depuis où (réseau interne ou externe), avec quel niveau de droits et dans quel contexte. Ce volet inclut également l’analyse des comptes techniques utilisés par certaines applications pour fonctionner et qui nécessitent des droits d’administrateur pour certains équipements réseau par exemple, l’accès à distance des prestataires IT et à leurs comptes administrateurs ainsi que l’usage mobile et tous les échanges entre services internes et plateformes externes. Un expert en cybersécurité saura repérer les écarts qui passent souvent inaperçus.
Les contrôles techniques, organisationnels et humains à mener
Côté technique, plusieurs contrôles sont traditionnellement réalisés.
Ils portent sur les mises à jour, l’antivirus/EDR, le pare-feu, la segmentation réseau, les logs, la solidité des mots de passe, l’authentification multifacteur, le chiffrement, les sauvegardes et la restauration. Selon la mission, des tests de vulnérabilité ou des tests d’intrusion peuvent être effectués. Les environnements web exposés méritent souvent une attention particulière. S’assurer que les données sont stockées dans des zones sécurisées réduit considérablement les risques de sécurité.
Le versant organisationnel vise à savoir si ces pratiques de sécurité sont formalisées, via une politique de sécurité cohérente. L’audit vérifie l’existence de règles d’onboarding et de off-boarding des collaborateurs, de procédures de gestion des accès utilisateurs, de politique de sauvegarde, de consignes liées au télétravail, de suivi des sous-traitants et mode opératoire en cas d’incident. Même dans une petite structure, ces points impactent directement le niveau de maîtrise. L’ingénierie des processus internes doit être suffisamment robuste pour éviter les dérives.
Le facteur humain est analysé au travers des usages tels qu’ils sont pratiqués dans la réalité. Des entretiens permettent ainsi d’évaluer si les équipes savent détecter un mail malveillant, protéger un document confidentiel ou encore remonter un comportement anormal. L’outil partagé est-il utilisé à bon escient ? Quand les erreurs sont fréquentes et répétées, ce n’est pas nécessairement un manque d’attention mais souvent un manque de repères. L’identification des comportements à risque passe aussi par l’observation des échanges au quotidien.
A l’issue des contrôles réalisés sur chacun des axes étudiés (technique/organisationnel/humain), les résultats obtenus sont mis en commun pour faire ressortir les principaux écarts et les plus significatifs. Les faiblesses identifiées sont classées par ordre de priorité afin de proposer un plan d’action cohérent et réalisable en fonction du niveau atteint par l’entité auditée. Cette hiérarchisation est indispensable dans le cadre d’une PME/TPE car il n’est pas possible de traiter toutes les vulnérabilités identifiées simultanément.
Quel type d’audit de sécurité informatique mettre en place selon vos besoins ?
Le bon format dépendra d’abord de la taille de votre entreprise, de votre exposition et surtout de vos objectifs.
Une entreprise qui n’a jamais engagé ce type de démarche aura généralement tout intérêt à commencer par un audit de sécurité global. Celui-ci a pour mérite d’offrir une vision d’ensemble, de mettre le doigt sur les urgences et d’élaborer une feuille de route cohérente. C’est une évaluation complète qui examine l’infrastructure dans son ensemble.
Bien sûr, dans certains cas, il convient davantage d’adopter une approche plus ciblée. Si vous êtes en train de migrer vers le cloud, d’ouvrir un accès distant à des prestataires, de déployer une nouvelle application ou si vous recevez des tentatives de phishing dans votre organisation, il sera logique d’orienter l’audit sur ces sujets. Cette approche est souvent plus rapide et plus facile à mettre en place.
Pour une sécurité informatique efficace, il est utile de connaître les différents types d’audits existants. On peut ainsi distinguer :
- L’audit de configuration sur un environnement spécifique (Microsoft 365, firewall, serveur…) ;
- l’audit organisationnel qui examine les processus en place, les rôles et responsabilités ainsi que la gestion des accès utilisateurs ;l’audit de vulnérabilité qui permet d’identifier les failles techniques connues (vulnérabilités internet, failles applicatives…) ;
- le test d’intrusion qui vise à évaluer ce qu’un attaquant pourrait réellement exploiter dans votre système ;
- l’audit de conformité qui peut être effectué par rapport au RGPD, aux exigences d’un client ou encore à une assurance cyber.
Aucune lutte contre la cybercriminalité n’est exclusive. Ces différentes approches sont généralement complémentaires. Un guide complet aide à choisir la méthode la plus adaptée à votre contexte.
Ainsi une société pourra entamer sa démarche par un diagnostic global puis lancer dans un second temps un test d’intrusion internet sur son exposition ou une revue détaillée des sauvegardes. Le choix le plus pertinent est celui qui correspond à un risque avéré, pas celui qui parait le plus classe !
Quels livrables attendre après un audit de sécurité informatique ?
Le minimum syndical est la remise d’un rapport clair, exploitable et priorisé, indiquant le périmètre de l’audit, la méthode employée, les constats majeurs, le niveau de criticité des écarts relevés et leurs impacts possibles.
En effet, un rapport trop technique ou au contraire trop vague perd vite de sa valeur, en particulier si la direction doit ensuite arbitrer sur les actions à mener et les budgets à débloquer.
Il faut également que ce rapport propose un certain nombre de recommandations concrètes. Il ne suffit pas par exemple d’indiquer qu’un compte est trop permissif ou qu’une sauvegarde n’est pas suffisamment protégée. Il faut aussi préciser ce qu’il convient de corriger en premier lieu, avec quel niveau d’effort demandé et si possible avec quelles options disponibles selon les contraintes auxquelles fait face l’entreprise.
Généralement un bon audit fournit une synthèse à destination de la direction, séparée des éléments plus détaillés fournis à l’équipe technique. La première a besoin d’une lecture rapide pour apprécier les risques métiers encourus tandis que les intervenants opérationnels ont besoin d’informations actionnables. Cette séparation permet au document d’être plus utile pour tous.
Il arrive par ailleurs que des preuves techniques, captures de configuration, résultats de scan ou cartographie simplifiée du système d’information soient fournies en annexe. Ces compléments permettent de valider les constats effectués et faciliteront le suivi des corrections mises en œuvre. Elles sont particulièrement utiles dans le cas où un prestataire externe sera amené à mettre en place les mesures recommandées.
Enfin il est pertinent également d’attendre un plan de remédiation structuré. Celui-ci prendra la forme d’un tableau listant les actions à engager, leur niveau de priorité, le responsable pressenti, l’échéance cible et une estimation d’effort. Pour une petite structure c’est souvent le livrable le plus utile car il transforme le diagnostic initialement réalisé en plan d’action concret.
Comment choisir un bon prestataire d’audit de sécurité informatique et quel budget prévoir ?
Le choix du prestataire doit se faire en fonction de sa capacité à appréhender la réalité d’une PME ou d’une TPE.
Un bon intervenant saura expliquer simplement sa méthode, poser les bonnes questions métier et éviter les recommandations abstraites qui n’ont pas de lien avec la réalité du terrain. Il précisera également ce qui est inclus ou non dans son offre et le niveau de profondeur de son analyse.
Il peut être pertinent de vérifier son expérience sur des environnements similaires au vôtre et sa capacité à accompagner la sécurité de l’entreprise sur la durée. Une société habituée à travailler avec des grands comptes n’est pas forcément celle qui sera la plus à même d’appréhender les contraintes d’une petite entreprise. À l’inverse, un prestataire qui a l’habitude de travailler avec des TPE et connaît les outils courants, les budgets serrés et les enjeux liés à la continuité d’activité sera souvent capable de proposer des actions beaucoup plus réalistes.
Avant de signer, quelques points doivent néanmoins être éclaircis :
- Le périmètre exact de la mission ;
- Les méthodes utilisées et le niveau d’intrusivité des tests ;
- Les livrables fournis et le format de la restitution ;
- La bonne confidentialité des informations collectées;
- L’accompagnement éventuel proposé après la remise du rapport.
S’agissant du budget, celui-ci dépendra bien sûr du périmètre retenu (nombre de sites à auditer, complexité des outils utilisés, présence ou non de cloud….) mais aussi du type de contrôles choisi. Une revue ciblée est forcément moins coûteuse qu’un audit complet incluant des tests techniques poussés. À l’inverse, il convient par ailleurs d’anticiper, au-delà de la mission d’audit elle-même, le coût engendré par les actions correctives qui suivront.
La solution n’est pas de se préoccuper du tarif le plus bas, mais d’évaluer le rapport entre le prix de l’audit et celui d’un incident non maîtrisé. Une interruption de service, une fraude par messagerie ou une perte de données pouvant générer des coûts bien supérieurs. Un budget raisonnablement calibré permettant ainsi d’acheter de la visibilité, de réduire les priorités mal choisies et de sécuriser les décisions à venir.
À propos de l'auteur
