Audit de cybersécurité
Faire le bilan de votre sécurité informatique, pour agir au bon endroit
Comme un bilan de santé, l’audit de cybersécurité vous dit ce qui va bien, ce qui est fragile et ce qu’il faut corriger en premier. Nous regardons trois choses : votre organisation, ce que votre entreprise laisse voir sur Internet et la façon dont vos comptes et vos accès sont gérés. Vous repartez avec un plan d’action clair, pas avec un rapport illisible.
Vous avez investi dans l’informatique, mais êtes-vous vraiment protégé ?
La plupart des dirigeants que nous rencontrons ont fait des efforts : un antivirus, un pare-feu, des sauvegardes, un prestataire de confiance. Pourtant, une question reste sans réponse : est-ce suffisant ? Personne n’a jamais vérifié l’ensemble avec un regard extérieur.
Ce doute prend souvent une forme très concrète :
- Vous ne savez pas exactement qui a accès à quoi, ni si les comptes des anciens salariés ont bien été fermés.
- Un accès à distance a été ouvert pendant une période de télétravail et personne ne sait s’il est toujours actif.
- Votre assureur ou un client vous demande un état des lieux de votre sécurité.
- Votre budget informatique est limité et vous voulez le consacrer à ce qui compte vraiment.
- Un proche dirigeant a subi un incident et vous vous demandez si cela pourrait vous arriver.
L’audit n’est pas un examen pour vous prendre en défaut. C’est un outil de décision : il remplace l’impression par des faits, et il vous permet d’investir là où le gain de sécurité est le plus grand.
Ce que nous faisons : un audit cybersécurité en trois volets
Chaque volet peut être réalisé seul, mais c’est leur combinaison qui donne la vision la plus juste. Nous adaptons le périmètre à votre taille et à votre activité.
Audit organisationnel
Nous examinons vos pratiques : gestion des accès, arrivées et départs, mots de passe, sauvegardes, mises à jour, relations avec vos prestataires, procédure en cas d’incident. Nous nous appuyons sur les recommandations publiques de l’ANSSI, l’agence nationale de la sécurité des systèmes d’information.
Audit de la surface d’attaque externe
La surface d’attaque externe, c’est tout ce que votre entreprise rend visible depuis Internet : site web, messagerie, accès à distance, noms de domaine, services oubliés. Nous recensons ces points d’entrée et nous vérifions s’ils présentent des failles connues ou des réglages fragiles.
Audit Active Directory
Active Directory est l’annuaire de Microsoft qui gère les comptes, les mots de passe et les droits de vos utilisateurs sur le réseau. Mal réglé, il permet à un intrus de passer d’un simple poste au contrôle complet de votre informatique. Nous analysons sa configuration et ses comptes à privilèges.
Un regard technique et humain
Nous ne nous contentons pas d’outils automatiques. Chaque constat est vérifié, replacé dans le contexte de votre activité et expliqué. Une faille théorique sur un serveur de test n’a pas le même poids qu’un accès à distance sans double authentification sur votre logiciel de gestion.
Si vous souhaitez aller plus loin et vérifier concrètement qu’une faille est exploitable, le test d’intrusion prend le relais. Et pour un premier aperçu avant tout engagement, notre autodiagnostic en ligne vous donne une indication en quelques questions.
Comment ça se passe
1
Le cadrage
Nous définissons ensemble le périmètre, les volets retenus, les interlocuteurs et le calendrier. Vous signez une autorisation écrite pour les analyses techniques.
2
Les entretiens et la collecte
Nous échangeons avec la direction, la personne qui gère l’informatique et votre prestataire. Nous collectons les informations utiles, sans perturber votre activité.
3
Les analyses techniques
Analyse de votre exposition sur Internet et de votre Active Directory, avec des outils reconnus et une vérification manuelle des résultats.
4
La restitution
Nous vous présentons les résultats de vive voix, en langage clair : ce qui va bien, ce qui doit être corrigé, et dans quel ordre.
5
Le plan d’actions
Vous recevez un plan priorisé, avec pour chaque action l’effort estimé et la personne la mieux placée pour la réaliser. Nous pouvons ensuite vous accompagner dans sa mise en œuvre.
La durée totale dépend du périmètre retenu : comptez [durée indicative À VALIDER] entre le cadrage et la restitution pour une PME.
Ce que vous obtenez
- Une synthèse pour la direction, lisible en quelques minutes, avec un niveau de maturité par thème.
- Un rapport détaillé pour votre prestataire informatique, avec les constats techniques et les corrections recommandées.
- La liste de ce que votre entreprise expose sur Internet, y compris les services oubliés.
- Les faiblesses de votre Active Directory, classées par gravité.
- Un plan d’actions priorisé, réaliste et adapté à votre budget.
- Une base solide pour répondre aux questionnaires de vos clients et de votre assureur.
- Une réunion de restitution pour poser toutes vos questions.
Tarif indicatif
À partir de [montant À VALIDER] HT
Le prix varie selon les volets retenus, le nombre de sites, de postes et de serveurs, et la complexité de votre Active Directory. Nous vous remettons un devis précis après le cadrage.
Pour qui ?
L’audit est utile à toute entreprise qui veut savoir où elle en est. Il est particulièrement recommandé dans certaines situations :
- Avant de souscrire ou de renouveler une assurance cyber, pour répondre avec exactitude au questionnaire.
- Pour préparer une mise en conformité, notamment NIS2 : notre article NIS2, ce qui change pour les PME fait le point.
- Pour les PME industrielles, dont les donneurs d’ordre exigent des garanties.
- Pour les notaires et experts-comptables, garants de la confidentialité de leurs clients.
- Au démarrage d’une mission de RSSI externalisé, pour bâtir la feuille de route sur des faits.
Les TPE de 1 à 3 postes trouveront souvent une réponse plus adaptée avec Iris Pro, qui intègre un état des lieux à la maintenance au mois.
Nous réalisons nos audits dans toute la région, par exemple pour les entreprises de Lens et d’Arras, et en Savoie.
Questions fréquentes sur l’audit cybersécurité
Quelle différence entre un audit et un test d’intrusion ?
L’audit fait un état des lieux large : organisation, configuration, exposition. Le test d’intrusion va en profondeur sur un périmètre précis et cherche à exploiter réellement les failles, comme le ferait un attaquant. L’audit vient généralement en premier.
L’audit va-t-il perturber le travail de mes équipes ?
Très peu. Les entretiens durent de courts créneaux planifiés à l’avance, et les analyses techniques sont réalisées sans interrompre vos outils. Nous convenons ensemble des horaires si une analyse demande une vigilance particulière.
Dois-je vous donner des accès administrateur ?
Pour l’audit Active Directory, nous avons besoin d’un compte en lecture, sans droit de modification. Pour la surface d’attaque externe, aucun accès n’est nécessaire : nous regardons ce que tout le monde peut voir depuis Internet.
Mon prestataire informatique va-t-il mal le prendre ?
Nous l’associons dès le départ. L’audit n’est pas un jugement de son travail, c’est un regard complémentaire. Les prestataires apprécient généralement de recevoir une liste claire de priorités validée par la direction.
Les résultats restent-ils confidentiels ?
Oui. Les résultats vous appartiennent et ne sont communiqués qu’aux personnes que vous désignez. Nous signons un engagement de confidentialité si vous le souhaitez.
À quelle fréquence faut-il refaire un audit ?
Un audit complet tous les un à deux ans est une bonne pratique, ou après un changement important : déménagement, nouveau logiciel métier, fusion. Entre deux audits, un suivi régulier permet de vérifier que les corrections sont tenues.
Et si l’audit révèle un problème grave ?
Nous vous prévenons immédiatement, sans attendre le rapport final, et nous vous aidons à le corriger. Si nous découvrons des traces d’intrusion, nous basculons sur la réponse à incident décrite sur notre page urgence cyberattaque.
Remplacez le doute par un plan d’actions
Parlez-nous de votre entreprise : nous vous proposons le périmètre d’audit le plus utile, sans superflu.
Ou appelez-nous au 06 30 39 95 06.