Comment préparer sa PME avant un audit sécurité informatique ?

Pourquoi préparer un audit sécurité informatique ?

Un audit sécurité informatique permet d’identifier les risques réels dans le système d’information d’une entreprise. Il peut concerner les comptes utilisateurs, Microsoft 365, Active Directory, le réseau, le firewall, les VPN, les sauvegardes, les postes, les serveurs ou encore la conformité RGPD.

Lorsque l’audit est bien préparé, l’analyse est plus efficace. L’intervenant perd moins de temps à chercher les informations de base et peut se concentrer sur les vrais risques : accès trop ouverts, comptes sensibles, sauvegardes non testées, ports exposés, Wi-Fi mal isolé ou mauvaises configurations.

Cette préparation est particulièrement utile avant un audit sécurité informatique PME, car elle permet de définir un périmètre réaliste et un plan d’action adapté.

Les éléments à préparer en priorité

Une PME n’a pas besoin de préparer un dossier complexe. En revanche, certains éléments sont très utiles pour comprendre le fonctionnement du système d’information et repérer les risques.

1. Définir le périmètre de l’audit

Avant de commencer, il faut déterminer ce que vous souhaitez auditer. Un audit peut être global ou ciblé sur un domaine précis : Microsoft 365, Active Directory, réseau, sauvegarde, RGPD, exposition Internet ou test d’intrusion.

Le périmètre dépend de votre objectif. Vous pouvez vouloir rassurer un client, préparer une assurance cyber, sécuriser Microsoft 365, vérifier un firewall, contrôler les sauvegardes ou obtenir une vision globale des risques.

• Souhaitez-vous un audit global ou ciblé ?
• Quels sites sont concernés ?
• Combien d’utilisateurs sont inclus ?
• Quels serveurs ou services sont critiques ?
• Microsoft 365 fait-il partie du périmètre ?
• Le réseau, les VPN ou le Wi-Fi doivent-ils être vérifiés ?
• Les sauvegardes et le PRA doivent-ils être contrôlés ?

Si vous hésitez, l’article Pourquoi faire un audit sécurité informatique dans une PME ? peut aider à comprendre les principaux objectifs.

2. Préparer la liste des utilisateurs et comptes sensibles

La gestion des comptes est l’un des premiers sujets à vérifier. Les comptes utilisateurs, les administrateurs, les anciens salariés, les prestataires et les comptes partagés peuvent créer des risques importants.

Avant l’audit, préparez une liste des utilisateurs actifs, des comptes administrateurs et des comptes externes ou prestataires.

• Liste des utilisateurs actifs.
• Liste des comptes administrateurs.
• Comptes d’anciens salariés à vérifier.
• Comptes prestataires ou comptes externes.
• Comptes partagés ou génériques.
• Groupes avec droits élevés.
• Procédure de création et suppression des comptes.

Si l’entreprise utilise un annuaire local, un audit Active Directory permet de vérifier les comptes, groupes sensibles, GPO, mots de passe et droits administrateurs.

3. Préparer les informations Microsoft 365

Microsoft 365 contient souvent les données les plus sensibles de la PME : e-mails, fichiers OneDrive, bibliothèques SharePoint, Teams, comptes invités, partages externes et comptes administrateurs.

Pour préparer l’audit, il est utile d’identifier les comptes administrateurs Microsoft 365, les règles de MFA, les partages externes, les boîtes partagées et les éventuelles alertes récentes.

• Liste des administrateurs Microsoft 365.
• État du MFA sur les comptes sensibles.
• Boîtes partagées importantes.
• Règles de transfert Exchange connues.
• Sites SharePoint contenant des données sensibles.
• Partages externes OneDrive ou SharePoint.
• Comptes invités dans Teams ou Entra ID.

Ces éléments sont vérifiés dans un audit sécurité Microsoft 365.

4. Préparer le schéma réseau et les accès distants

Le réseau est souvent difficile à comprendre lorsqu’il n’est pas documenté. Pourtant, il est essentiel pour identifier les flux, les VLAN, les accès VPN, les règles firewall et les équipements exposés.

Même un schéma simple est utile. Il doit montrer les principaux équipements : box ou routeur opérateur, firewall, switchs, bornes Wi-Fi, serveurs, sauvegardes, liens inter-sites et accès Internet.

• Schéma réseau même simplifié.
• Plan IP et VLAN si disponibles.
• Liste des firewalls, routeurs et switchs.
• Liste des VPN utilisateurs ou inter-sites.
• Liste des ports ouverts ou redirections NAT.
• Wi-Fi interne et Wi-Fi invité.
• Liens Internet principaux et secours.

Si ces éléments ne sont pas clairs, un audit réseau informatique peut permettre de reprendre la maîtrise du firewall, VPN, Wi-Fi, VLAN et exposition Internet.

5. Préparer les informations sur les sauvegardes

Les sauvegardes sont un point central de la résilience informatique. Avant l’audit, il faut identifier ce qui est sauvegardé, à quelle fréquence, où sont stockées les sauvegardes et si des tests de restauration ont déjà été réalisés.

• Solution de sauvegarde utilisée.
• Serveurs, postes ou données sauvegardés.
• Fréquence des sauvegardes.
• Durée de rétention.
• Lieu de stockage des sauvegardes.
• Protection contre les ransomwares.
• Derniers tests de restauration.
• Temps estimé de reprise des services critiques.

Pour approfondir ce sujet, consultez l’article Comment savoir si mes sauvegardes sont vraiment fiables ? ou le service audit sauvegarde PRA PCA.

6. Préparer la liste des postes, serveurs et applications

Un audit sécurité informatique doit comprendre les équipements utilisés au quotidien. Les postes, serveurs, applications métier et équipements spécifiques peuvent contenir des données sensibles ou créer des dépendances importantes.

• Nombre de postes Windows ou macOS.
• Serveurs physiques ou virtuels.
• Applications métier critiques.
• Logiciels avec données clients, RH ou comptabilité.
• Antivirus, EDR ou solution de protection utilisée.
• Systèmes obsolètes ou hors support.
• Postes nomades ou télétravail.

Cette liste permet de mieux évaluer les priorités : postes non à jour, serveurs sensibles, logiciels critiques, accès locaux administrateurs ou équipements insuffisamment protégés.

7. Identifier les données et services critiques

La sécurité informatique doit être reliée aux besoins métier. Tous les systèmes n’ont pas le même niveau de criticité. Certains services peuvent être indisponibles quelques heures, alors que d’autres bloquent immédiatement l’activité.

Avant l’audit, identifiez les services indispensables : messagerie, logiciel métier, fichiers partagés, comptabilité, téléphonie, production, accès clients ou données RH.

• Quelles données ne doivent pas être perdues ?
• Quels services doivent redémarrer en priorité ?
• Quelle durée d’arrêt est acceptable ?
• Quelles données sont sensibles ou personnelles ?
• Quels clients ou partenaires imposent des exigences de sécurité ?

Ce travail aide à prioriser le plan d’action après l’audit.

8. Rassembler les incidents ou problèmes récents

Les incidents passés donnent souvent de bons indices sur les risques actuels. Il peut s’agir de phishing, compte compromis, panne serveur, suppression de fichiers, ransomware évité, lenteurs réseau, problème VPN, fuite de données ou suspicion d’accès non autorisé.

• Phishing ou e-mails suspects récents.
• Compte Microsoft 365 compromis.
• Panne serveur ou restauration difficile.
• Suppression accidentelle de données.
• Lenteurs ou coupures réseau récurrentes.
• Accès VPN douteux.
• Ancien prestataire ayant encore des accès.
• Demandes clients ou assurance cyber.

Si un compte Microsoft 365 a été compromis, l’article Que faire si un compte Microsoft 365 a été piraté ? détaille les premières actions à mener.

9. Définir les accès nécessaires pour l’audit

Selon le périmètre, l’auditeur peut avoir besoin d’accéder à certaines consoles : Microsoft 365, firewall, sauvegarde, antivirus, Active Directory, contrôleur Wi-Fi, supervision ou documentation.

Ces accès doivent être créés proprement, limités si possible, et supprimés après l’intervention si un compte temporaire est utilisé.

• Accès Microsoft 365 en lecture ou rôle adapté.
• Accès firewall ou export de configuration.
• Accès console de sauvegarde.
• Accès Active Directory ou export des groupes.
• Accès documentation existante.
• Compte temporaire si nécessaire.
• Validation par une personne habilitée.

10. Préparer les questions à poser

Un audit est aussi un moment d’échange. La PME doit pouvoir poser ses questions : priorités, budget, risques urgents, conformité, assurance cyber, sauvegardes, cloud, télétravail ou plan de reprise.

• Quels sont nos risques les plus urgents ?
• Quels correctifs sont rapides à mettre en place ?
• Quels risques doivent être planifiés sur plusieurs mois ?
• Nos sauvegardes sont-elles suffisantes ?
• Microsoft 365 est-il correctement sécurisé ?
• Nos accès VPN sont-ils trop ouverts ?
• Sommes-nous prêts en cas de ransomware ?
• Quel budget prévoir pour corriger les priorités ?

Checklist rapide avant l’audit

Voici une checklist simple à utiliser avant le rendez-vous.

• Définir l’objectif de l’audit.
• Choisir le périmètre : global ou ciblé.
• Préparer la liste des utilisateurs et administrateurs.
• Identifier les comptes anciens, prestataires ou partagés.
• Rassembler les informations Microsoft 365.
• Préparer le schéma réseau ou les informations firewall/VPN.
• Identifier les sauvegardes et derniers tests de restauration.
• Lister les postes, serveurs et applications critiques.
• Noter les incidents récents.
• Préparer les accès nécessaires et les contacts internes.

Conclusion : un audit bien préparé produit un meilleur plan d’action

Préparer une PME avant un audit sécurité informatique ne consiste pas à tout corriger avant l’intervention. Il s’agit surtout de fournir une vision claire de l’existant : comptes, accès, réseau, Microsoft 365, sauvegardes, postes, serveurs, applications et priorités métier.

Cette préparation permet d’obtenir un audit plus précis, un rapport plus utile et un plan d’action plus réaliste pour sécuriser l’entreprise.