Qui doit être impliqué dans un audit sécurité informatique ?

Pourquoi impliquer plusieurs personnes dans un audit ?

La sécurité informatique ne se limite pas aux équipements techniques. Les comptes, les accès, les données, les usages, les sauvegardes, les procédures de départ, les applications métier et les contraintes de continuité d’activité concernent plusieurs personnes dans l’entreprise.

Un audit sécurité informatique PME est plus efficace lorsque les bonnes personnes sont impliquées dès le départ. Cela permet de comprendre les risques réels, d’éviter les angles morts et de construire un plan d’action applicable.

Les profils à impliquer en priorité

Chaque PME est différente, mais certains rôles doivent presque toujours être impliqués. Même si une personne cumule plusieurs fonctions, il faut couvrir les sujets suivants : décision, technique, métiers, données, sauvegardes et organisation.

1. La direction

La direction doit être impliquée dès le cadrage de l’audit. Elle n’a pas besoin d’entrer dans tous les détails techniques, mais elle doit comprendre les enjeux : interruption d’activité, perte de données, ransomware, conformité, image, assurance cyber ou exigences clients.

La direction est aussi celle qui valide les priorités et les budgets. Sans son implication, le rapport d’audit risque de rester sans action concrète.

• Définir l’objectif de l’audit.
• Valider le périmètre.
• Identifier les risques métier importants.
• Arbitrer les priorités.
• Valider les budgets de correction.
• Suivre l’avancement du plan d’action.

L’article Que faire après un audit sécurité informatique ? détaille comment transformer le rapport en plan d’action.

2. Le référent informatique ou le prestataire IT

Le référent informatique interne ou le prestataire IT joue un rôle central. Il connaît l’infrastructure, les outils, les accès, les incidents récents, les contraintes techniques et les évolutions prévues.

Il peut fournir les informations nécessaires sur les postes, serveurs, Microsoft 365, Active Directory, firewall, VPN, réseau, sauvegardes, antivirus, EDR ou applications métier.

• Fournir la documentation technique existante.
• Présenter l’architecture réseau.
• Expliquer les accès VPN et firewall.
• Identifier les comptes administrateurs.
• Présenter la stratégie de sauvegarde.
• Donner l’historique des incidents et changements récents.

3. Les responsables métiers

Les responsables métiers sont indispensables parce qu’ils savent ce qui est réellement critique pour l’activité. L’informatique peut voir un serveur ou une application, mais le métier sait ce qui se passe si ce service est indisponible pendant une journée.

Ils permettent de prioriser correctement les risques. Une application peu visible techniquement peut être essentielle pour la facturation, la production, la paie, les rendez-vous, la relation client ou la livraison.

• Identifier les applications indispensables.
• Déterminer les données critiques.
• Expliquer les impacts d’une interruption.
• Valider les délais de reprise acceptables.
• Identifier les périodes sensibles de l’activité.
• Signaler les pratiques réelles des utilisateurs.

4. La personne qui gère Microsoft 365

Microsoft 365 contient souvent une partie importante des données de la PME : e-mails, OneDrive, SharePoint, Teams, boîtes partagées, comptes invités et partages externes. La personne qui administre ou suit Microsoft 365 doit donc être impliquée.

• Comptes administrateurs Microsoft 365.
• Activation du MFA.
• Partages externes OneDrive et SharePoint.
• Comptes invités Teams.
• Boîtes partagées et délégations.
• Règles Exchange et transferts automatiques.
• Licences et utilisateurs actifs.

Ces éléments sont vérifiés dans un audit sécurité Microsoft 365.

5. La personne qui connaît Active Directory

Si la PME utilise un Active Directory local, il faut impliquer la personne qui connaît l’annuaire, les groupes, les GPO, les comptes administrateurs et les procédures d’arrivée ou de départ.

Active Directory est souvent au cœur des accès. Une mauvaise gestion des groupes, des comptes inactifs ou des droits administrateurs peut créer un risque important.

• Comptes utilisateurs et comptes inactifs.
• Groupes sensibles.
• Administrateurs du domaine.
• GPO principales.
• Comptes de service.
• Procédures d’arrivée, départ et changement de poste.

Ces points peuvent être approfondis avec un audit Active Directory.

6. Les personnes responsables des sauvegardes

Les sauvegardes sont un sujet prioritaire. Il faut impliquer la personne qui sait ce qui est sauvegardé, à quelle fréquence, avec quelle rétention, où les sauvegardes sont stockées et si des tests de restauration ont été réalisés.

En cas de ransomware, panne ou suppression accidentelle, la capacité de restauration peut déterminer la durée d’arrêt de l’entreprise.

• Solution de sauvegarde utilisée.
• Périmètre sauvegardé.
• Fréquence des sauvegardes.
• Rétention.
• Protection contre les ransomwares.
• Tests de restauration réalisés.
• Priorités de reprise.

Pour ce sujet, consultez aussi Comment savoir si mes sauvegardes sont vraiment fiables ? et le service audit sauvegarde PRA PCA.

7. Le responsable administratif, RH ou finance

Dans beaucoup de PME, les données sensibles se trouvent dans les services administratifs : dossiers salariés, paie, contrats, factures, RIB, données clients, données fournisseurs, documents juridiques ou fichiers exportés.

Il est donc utile d’impliquer les personnes qui savent où ces données sont stockées et qui doit y accéder.

• Données RH et paie.
• Données clients et fournisseurs.
• Dossiers comptables.
• Documents sensibles partagés.
• Exports Excel contenant des données personnelles.
• Accès aux dossiers confidentiels.

Ces éléments peuvent être reliés à un audit conformité RGPD.

8. Le DPO ou la personne chargée du RGPD

Si l’entreprise dispose d’un DPO ou d’une personne chargée de la conformité RGPD, elle doit être associée à l’audit lorsque des données personnelles sont concernées.

L’objectif n’est pas seulement documentaire. Il faut vérifier les mesures techniques : accès, mots de passe, sauvegardes, Microsoft 365, postes, réseau, traçabilité et suppression des comptes.

• Données personnelles traitées.
• Accès aux données sensibles.
• Durées de conservation.
• Incidents ou violations passées.
• Mesures techniques existantes.
• Procédures en cas d’incident.

L’article RGPD : quelles mesures techniques une PME doit-elle vérifier ? détaille les principaux contrôles.

9. Les utilisateurs clés

Les utilisateurs clés peuvent révéler des pratiques que la documentation ne montre pas toujours : fichiers partagés en dehors des procédures, mots de passe transmis, comptes partagés, export de données, usage de solutions non validées ou contournements liés à des contraintes métier.

Les impliquer permet d’obtenir une vision plus réaliste des usages. L’objectif n’est pas de chercher un responsable, mais de comprendre les habitudes qui peuvent créer des risques.

• Usages réels des fichiers partagés.
• Partages externes avec clients ou fournisseurs.
• Applications utilisées au quotidien.
• Difficultés avec les procédures actuelles.
• Contraintes métier à prendre en compte.
• Besoins de formation ou sensibilisation.

10. Les prestataires externes

Si des prestataires interviennent sur le système d’information, ils doivent parfois être impliqués : infogérance, hébergeur, éditeur logiciel, opérateur télécom, intégrateur métier, prestataire sauvegarde ou cybersécurité.

Il faut surtout identifier leurs accès et leur périmètre d’intervention. Des accès prestataires oubliés peuvent devenir un risque.

• Prestataires ayant un accès VPN.
• Comptes administrateurs externes.
• Accès aux applications métier.
• Accès aux serveurs ou sauvegardes.
• Contrats ou responsabilités techniques.
• Procédures de fin de mission.

Qui doit participer à la réunion de lancement ?

La réunion de lancement doit rester efficace. Elle peut réunir un groupe restreint, mais suffisamment représentatif pour cadrer correctement l’audit.

• Un membre de la direction.
• Le référent informatique ou prestataire IT.
• Un responsable métier ou administratif.
• La personne qui connaît Microsoft 365.
• La personne qui connaît les sauvegardes.
• Le DPO ou référent RGPD si nécessaire.

Avant cette réunion, l’article Comment préparer sa PME avant un audit sécurité informatique ? peut servir de checklist.

Qui doit recevoir le rapport d’audit ?

Le rapport d’audit contient souvent des informations sensibles : failles, accès, comptes, configurations, priorités et recommandations. Il doit donc être partagé uniquement avec les personnes concernées.

• Direction ou responsable habilité.
• Référent informatique.
• Prestataire IT concerné.
• Responsable sécurité ou DPO si applicable.
• Personnes responsables des actions à corriger.

Il est important de distinguer le rapport complet, destiné aux personnes habilitées, et une synthèse plus courte pour la direction ou les équipes métier.

Comment éviter que l’audit bloque l’activité ?

Un audit bien organisé ne doit pas perturber l’activité quotidienne. Il faut définir les horaires, les personnes disponibles, les accès nécessaires, les limites d’intervention et les contacts en cas de question.

• Prévoir une réunion de lancement courte.
• Désigner un contact principal.
• Préparer les accès en avance.
• Planifier les entretiens métier.
• Éviter les périodes critiques de production.
• Valider les actions sensibles avant intervention.

Conclusion : un audit efficace repose sur les bonnes personnes

Un audit sécurité informatique est plus pertinent lorsque les bonnes personnes sont impliquées : direction, référent IT, métiers, responsables des données, Microsoft 365, Active Directory, sauvegardes, RGPD et prestataires.

Cette organisation permet de comprendre les risques réels, de prioriser les actions utiles et de construire un plan de correction adapté à l’entreprise.