Que faire après un audit sécurité informatique ?

Pourquoi l’après-audit est aussi important que l’audit ?

Un audit sécurité informatique permet d’identifier les failles, mauvaises configurations et points faibles du système d’information. Mais le rapport seul ne sécurise pas l’entreprise. Ce sont les actions réalisées après l’audit qui réduisent réellement le risque.

Dans une PME, les constats peuvent concerner Microsoft 365, Active Directory, le réseau, le firewall, les VPN, les sauvegardes, les postes, les serveurs, les comptes administrateurs ou encore la conformité RGPD.

C’est pour cela qu’un audit sécurité informatique PME doit toujours déboucher sur un plan d’action simple, priorisé et réaliste.

Les premières actions à mener après un audit

Après réception du rapport, il faut éviter de traiter toutes les recommandations au même niveau. Certaines actions doivent être réalisées rapidement, tandis que d’autres peuvent être planifiées sur plusieurs semaines ou plusieurs mois.

1. Relire le rapport avec les bonnes personnes

La première étape consiste à relire le rapport avec les personnes concernées : direction, responsable informatique, prestataire IT, référent métier ou responsable administratif. L’objectif est de comprendre les risques, les impacts et les priorités.

Il ne faut pas que le rapport reste uniquement entre les mains de l’équipe technique. Certaines décisions concernent aussi le budget, l’organisation, les usages, les accès utilisateurs ou les contraintes métier.

• Identifier les constats les plus critiques.
• Comprendre l’impact métier des risques.
• Valider les actions réalisables rapidement.
• Identifier les sujets nécessitant un budget.
• Associer les bons responsables à chaque action.

2. Classer les risques par priorité

Tous les risques ne doivent pas être traités de la même manière. Une faille exposée sur Internet ou un accès administrateur trop large est généralement plus prioritaire qu’une documentation incomplète, même si les deux sujets sont importants.

Pour prioriser, il faut croiser trois critères : la criticité, la probabilité et la facilité de correction. Une action simple qui réduit un risque important doit être traitée rapidement.

• Critique : risque immédiat ou fortement exploitable.
• Important : risque sérieux à corriger rapidement.
• Modéré : amélioration utile à planifier.
• Faible : correction souhaitable, mais moins urgente.

3. Mettre en place des corrections rapides

Après un audit, certaines corrections peuvent être réalisées rapidement. Ces actions permettent souvent de réduire fortement le risque sans attendre un grand projet. On parle parfois de “quick wins”.

• Activer le MFA sur les comptes sensibles.
• Désactiver les comptes d’anciens salariés.
• Supprimer les comptes administrateurs inutiles.
• Fermer les ports exposés non nécessaires.
• Supprimer les règles firewall obsolètes.
• Révoquer les accès VPN inutilisés.
• Contrôler les règles de transfert Exchange.
• Limiter certains partages externes Microsoft 365.
• Vérifier les derniers rapports de sauvegarde.

Ces actions doivent être documentées afin de garder une trace des corrections effectuées.

4. Construire un plan d’action à 30, 60 et 90 jours

Pour éviter que le rapport reste sans suite, il est utile de transformer les recommandations en plan d’action court terme. Une approche simple consiste à organiser les actions sur 30, 60 et 90 jours.

À 30 jours : réduire les risques immédiats

• Corriger les accès critiques.
• Activer ou renforcer le MFA.
• Fermer les expositions Internet inutiles.
• Nettoyer les comptes inactifs.
• Vérifier les sauvegardes les plus critiques.

À 60 jours : renforcer les fondations

• Revoir les groupes Active Directory.
• Durcir Microsoft 365.
• Mettre à jour les équipements réseau.
• Améliorer les règles firewall.
• Tester les restaurations de sauvegarde.

À 90 jours : structurer durablement la sécurité

• Mettre à jour la documentation réseau.
• Définir une procédure de gestion des comptes.
• Planifier les tests de restauration réguliers.
• Mettre en place un suivi des vulnérabilités.
• Préparer un plan de reprise d’activité.

5. Traiter Microsoft 365 en priorité si nécessaire

Microsoft 365 est souvent au cœur de l’activité : messagerie, fichiers, Teams, SharePoint, OneDrive et comptes utilisateurs. Si l’audit révèle des faiblesses sur cet environnement, il faut les traiter rapidement.

• MFA absent ou incomplet.
• Comptes administrateurs trop nombreux.
• Partages externes non maîtrisés.
• Règles Exchange suspectes ou anciennes.
• Comptes invités non revus.
• Absence de supervision des connexions à risque.

Un audit sécurité Microsoft 365 peut être complété par un plan de durcissement progressif.

6. Corriger les risques Active Directory

Si l’entreprise utilise Active Directory, les constats liés aux comptes, groupes, GPO et droits administrateurs doivent être pris au sérieux. Un annuaire mal maîtrisé peut faciliter la propagation d’un incident.

• Comptes inactifs encore actifs.
• Groupes administrateurs trop larges.
• Comptes de service mal documentés.
• GPO anciennes ou non maîtrisées.
• Mots de passe faibles ou politiques insuffisantes.
• Absence de procédure lors des départs.

Ces points sont à traiter dans le cadre d’un audit Active Directory ou d’un chantier de nettoyage de l’annuaire.

7. Sécuriser le réseau, le firewall et les VPN

Les accès réseau sont souvent un sujet prioritaire après audit : firewall, VPN, VLAN, Wi-Fi invité, ports exposés, règles NAT et segmentation. Une mauvaise configuration peut créer une porte d’entrée ou faciliter une propagation.

• Nettoyer les règles firewall obsolètes.
• Limiter les accès VPN aux personnes nécessaires.
• Activer le MFA sur les accès distants si possible.
• Isoler le Wi-Fi invité.
• Créer ou revoir les VLAN.
• Réduire les flux internes inutiles.
• Documenter les règles et les accès.

Ces actions peuvent être cadrées avec un audit réseau informatique.

8. Vérifier les sauvegardes et le PRA

Après un audit, les sauvegardes doivent être traitées comme un sujet prioritaire. Une entreprise peut avoir de bonnes protections, mais si elle ne peut pas restaurer ses données après un incident, la reprise sera difficile.

• Vérifier que les données critiques sont sauvegardées.
• Contrôler la fréquence et la rétention.
• Tester une restauration réelle.
• Protéger les sauvegardes contre les ransomwares.
• Documenter les délais de reprise.
• Définir les priorités de restauration.

Un audit sauvegarde PRA PCA permet de valider la capacité de reprise de l’entreprise.

9. Attribuer un responsable à chaque action

Un plan d’action sans responsable risque de ne pas avancer. Chaque correction doit être attribuée à une personne ou à un prestataire clairement identifié.

• Action à réaliser.
• Niveau de priorité.
• Responsable interne ou prestataire.
• Date cible.
• Statut d’avancement.
• Preuve de correction si nécessaire.

Ce suivi peut être fait dans un tableau simple. L’important est de garder une vision claire des actions ouvertes, terminées et reportées.

10. Prévoir un budget de correction

Certaines actions ne nécessitent qu’un réglage ou une correction rapide. D’autres peuvent demander du temps, du matériel, des licences ou une intervention technique plus longue.

Il est donc utile de classer les actions selon leur effort : rapide, moyen, projet à planifier ou investissement nécessaire.

• Actions immédiates sans coût important.
• Corrections techniques nécessitant du temps.
• Licences ou outils à prévoir.
• Matériel réseau ou sauvegarde à remplacer.
• Prestations à planifier.
• Actions à intégrer dans un budget annuel IT.

11. Mettre en place un suivi régulier

La sécurité informatique n’est pas un état figé. De nouveaux comptes sont créés, des prestataires interviennent, des règles firewall sont ajoutées, des partages Microsoft 365 évoluent et de nouvelles vulnérabilités apparaissent.

Après l’audit, il est recommandé de prévoir un suivi régulier. Cela peut être une revue trimestrielle, semestrielle ou annuelle selon la taille de l’entreprise et son niveau de risque.

• Revue des comptes administrateurs.
• Revue des comptes inactifs.
• Contrôle des partages externes.
• Vérification des sauvegardes.
• Revue des règles firewall.
• Suivi des actions non terminées.
• Mise à jour de la documentation.

12. Refaire un audit ou un contrôle après correction

Une fois les principales actions réalisées, il peut être utile de refaire un contrôle. L’objectif est de vérifier que les corrections sont bien appliquées et que les risques ont réellement diminué.

Ce contrôle peut être plus léger que l’audit initial. Il peut se concentrer sur les points corrigés : Microsoft 365, Active Directory, sauvegardes, firewall, VPN, exposition Internet ou postes.

Dans certains cas, un test intrusion PME peut aussi être réalisé pour vérifier l’exposition réelle sur un périmètre précis.

Checklist après audit sécurité informatique

Voici une checklist simple à utiliser après réception du rapport.

• Relire le rapport avec la direction et les personnes concernées.
• Classer les risques par criticité.
• Identifier les actions rapides à fort impact.
• Corriger les accès critiques.
• Planifier les actions à 30, 60 et 90 jours.
• Attribuer un responsable à chaque action.
• Prévoir le budget nécessaire.
• Documenter les corrections réalisées.
• Mettre en place un suivi régulier.
• Prévoir un contrôle après correction.

Conclusion : le rapport d’audit doit devenir un plan d’action

Après un audit sécurité informatique, la priorité est de transformer les constats en actions concrètes. Une PME doit corriger les urgences, planifier les chantiers importants, attribuer les responsabilités et suivre l’avancement dans le temps.

Le vrai bénéfice de l’audit se mesure après : réduction des accès inutiles, meilleure protection Microsoft 365, Active Directory plus propre, sauvegardes testées, réseau mieux maîtrisé et risques mieux pilotés.