À quelle fréquence faut-il réaliser un audit sécurité informatique ?

Pourquoi la fréquence d’audit est importante ?

La sécurité informatique évolue en permanence. Un audit réalisé il y a deux ans peut ne plus refléter la situation actuelle de l’entreprise. Depuis, de nouveaux collaborateurs peuvent être arrivés, des comptes peuvent avoir été créés, des accès VPN ouverts, des règles firewall ajoutées, des partages Microsoft 365 modifiés ou des sauvegardes déplacées.

Dans une PME, les changements sont parfois rapides et peu documentés. C’est justement pour cette raison qu’un audit sécurité informatique PME doit être renouvelé régulièrement.

La fréquence recommandée pour une PME

Pour une PME, une bonne base consiste à prévoir un audit complet une fois par an. Cela permet de revoir les grands sujets de sécurité : comptes, Microsoft 365, Active Directory, réseau, firewall, VPN, sauvegardes, postes, serveurs, RGPD et plan de reprise.

Entre deux audits complets, il est pertinent de réaliser des contrôles ciblés sur les sujets sensibles, surtout lorsqu’un changement important intervient.

1. Faire un audit complet une fois par an

Un audit annuel permet de garder une vision claire de l’état de sécurité de l’entreprise. Il aide à vérifier si les actions prévues ont bien été réalisées et si de nouveaux risques sont apparus.

Cet audit peut couvrir les principaux domaines du système d’information.

• Comptes utilisateurs et comptes administrateurs.
• Microsoft 365, Exchange, OneDrive, SharePoint et Teams.
• Active Directory, groupes, GPO et comptes inactifs.
• Firewall, VPN, Wi-Fi, VLAN et exposition Internet.
• Sauvegardes, tests de restauration, PRA et PCA.
• Postes, serveurs, mises à jour et protection endpoint.
• Mesures techniques RGPD et traçabilité.

Après l’audit, il est important de transformer le rapport en plan d’action. L’article Que faire après un audit sécurité informatique ? détaille cette étape.

2. Réaliser un contrôle après une migration Microsoft 365

Microsoft 365 est souvent au cœur de l’activité d’une PME. Une migration, un changement de tenant, l’ajout de comptes, l’ouverture de partages externes ou la création de nouveaux sites SharePoint peuvent modifier le niveau de risque.

Un contrôle est recommandé après une évolution importante de Microsoft 365.

• MFA activé sur les comptes sensibles.
• Comptes administrateurs limités.
• Partages externes maîtrisés.
• Comptes invités revus.
• Règles Exchange vérifiées.
• OneDrive, SharePoint et Teams correctement configurés.

Ces points peuvent être vérifiés avec un audit sécurité Microsoft 365.

3. Auditer après un changement réseau ou firewall

Un changement de firewall, l’ouverture d’un VPN, la création de VLAN, l’ajout d’une fibre, d’un routeur 4G, d’un Wi-Fi invité ou d’une interconnexion de sites peut introduire de nouveaux risques.

Il est recommandé de réaliser une vérification réseau après ce type de changement, surtout si des règles ont été ajoutées rapidement pour répondre à une urgence.

• Revue des règles firewall.
• Contrôle des ports exposés.
• Vérification des accès VPN.
• Test d’isolement du Wi-Fi invité.
• Contrôle des VLAN et flux internes.
• Mise à jour du schéma réseau.

Pour cela, un audit réseau informatique est le plus adapté.

4. Vérifier Active Directory régulièrement

Active Directory évolue à chaque arrivée, départ, changement de poste, ajout de groupe, création de GPO ou intervention d’un prestataire. Si l’annuaire n’est pas revu régulièrement, les droits peuvent s’accumuler et devenir difficiles à maîtriser.

Une revue Active Directory est recommandée au moins une fois par an, et plus souvent si l’entreprise a beaucoup de mouvements utilisateurs.

• Comptes inactifs encore activés.
• Comptes administrateurs trop nombreux.
• Groupes sensibles trop ouverts.
• Comptes de service non documentés.
• GPO anciennes ou non maîtrisées.
• Procédure de départ insuffisante.

Ces contrôles sont au cœur de l’audit Active Directory.

5. Contrôler les sauvegardes plus souvent que l’audit complet

Les sauvegardes doivent être vérifiées régulièrement. Un audit annuel est utile, mais les tests de restauration doivent être réalisés plus fréquemment sur les données critiques.

La sauvegarde est l’un des derniers recours en cas de ransomware, suppression accidentelle, panne serveur ou corruption de données. Une sauvegarde non testée peut créer une fausse impression de sécurité.

• Contrôle régulier des rapports de sauvegarde.
• Test de restauration de fichiers.
• Test de restauration d’un serveur ou d’une application critique.
• Vérification de la rétention.
• Protection contre les ransomwares.
• Revue du PRA et des délais de reprise.

Un audit sauvegarde PRA PCA permet de valider la stratégie globale de reprise.

6. Refaire un audit après un incident

Après un incident, il est fortement recommandé de réaliser un audit ou un contrôle ciblé. Même si le problème semble résolu, il faut comprendre ce qui s’est passé, vérifier les accès et s’assurer que la faille n’est pas toujours présente.

• Compte Microsoft 365 piraté.
• Phishing réussi ou suspicion de compromission.
• Ransomware ou malware détecté.
• Suppression ou fuite de données.
• Accès VPN suspect.
• Modification non expliquée d’une règle ou d’un compte.
• Panne ayant révélé une faiblesse de sauvegarde.

Si un compte Microsoft 365 est concerné, l’article Que faire si un compte Microsoft 365 a été piraté ? détaille les premières actions.

7. Auditer avant une assurance cyber ou une demande client

Certaines entreprises doivent répondre à des demandes clients, partenaires ou assureurs. Dans ce cas, l’audit permet de disposer d’une vision claire des mesures existantes et des améliorations à planifier.

Il est préférable de réaliser cet audit avant la demande officielle ou avant le renouvellement d’une assurance cyber, afin d’avoir le temps de corriger les points les plus visibles.

• MFA sur les comptes sensibles.
• Sauvegardes testées.
• Comptes administrateurs maîtrisés.
• VPN sécurisés.
• Postes et serveurs maintenus.
• Plan d’action sécurité documenté.

8. Adapter la fréquence selon le niveau de risque

Toutes les PME n’ont pas le même besoin de fréquence. Une entreprise très dépendante de son informatique, avec plusieurs sites, beaucoup d’utilisateurs, des données sensibles ou des accès externes, doit être contrôlée plus régulièrement.

• Une PME simple peut prévoir un audit annuel et quelques contrôles ponctuels.
• Une PME multi-sites peut prévoir un audit annuel et une revue réseau semestrielle.
• Une PME très dépendante de Microsoft 365 peut prévoir une revue cloud tous les 6 mois.
• Une PME exposée à des exigences clients peut prévoir un suivi trimestriel du plan d’action.
• Une PME ayant subi un incident doit prévoir un contrôle après correction.

Audit complet ou contrôle ciblé : que choisir ?

Il n’est pas toujours nécessaire de refaire un audit complet à chaque fois. Un audit global donne une vision d’ensemble, tandis qu’un contrôle ciblé permet de vérifier un périmètre précis après un changement.

Audit complet

Il est recommandé pour obtenir une vision globale : comptes, réseau, Microsoft 365, Active Directory, sauvegardes, postes, serveurs et RGPD.

Contrôle ciblé

Il est adapté après un changement précis : migration Microsoft 365, nouveau firewall, création de VPN, modification de sauvegarde, évolution Active Directory ou nouvelle application exposée.

Exemple de calendrier annuel pour une PME

Voici un exemple simple de calendrier de sécurité pour une PME.

• Janvier : revue des comptes administrateurs et comptes inactifs.
• Mars : test de restauration sauvegarde.
• Juin : contrôle Microsoft 365 et partages externes.
• Septembre : revue firewall, VPN, Wi-Fi et exposition Internet.
• Novembre : audit sécurité informatique global et plan d’action.
• Décembre : bilan des corrections et préparation du budget IT.

Ce calendrier peut être adapté selon l’activité, le nombre d’utilisateurs, les sites, les contraintes métier et les obligations clients.

Signes qu’il faut réaliser un audit sans attendre

Certains signaux doivent pousser l’entreprise à réaliser un audit rapidement, sans attendre le prochain contrôle annuel.

• Vous ne savez pas qui a les droits administrateurs.
• Vous ne savez pas si le MFA est activé partout.
• Votre firewall n’a pas été revu depuis plusieurs années.
• Vous avez des comptes d’anciens salariés encore actifs.
• Vos sauvegardes n’ont jamais été restaurées en test.
• Vous avez subi du phishing ou une suspicion de compromission.
• Vous avez ouvert des accès VPN ou ports récemment.
• Vous ne savez pas quels fichiers sont partagés à l’extérieur.
• Vous préparez une assurance cyber ou une demande client.

Conclusion : un audit annuel, des contrôles ciblés et un suivi régulier

Pour une PME, la bonne fréquence consiste généralement à réaliser un audit sécurité informatique complet une fois par an, puis des contrôles ciblés après chaque changement important ou incident.

L’objectif n’est pas de multiplier les audits inutilement, mais de garder une visibilité claire sur les risques : comptes, Microsoft 365, Active Directory, réseau, sauvegardes, RGPD et capacité de reprise.