Contenu préparé par l’équipe Cybeary à partir de situations rencontrées auprès de TPE, PME, cabinets et collectivités.
Passer à l’action
Vous préparez un audit cybersécurité ?
Cadrez le périmètre, les preuves et les livrables avant de demander un devis.
Un audit cybersécurité PME doit répondre à une question simple : quelles actions réduiront réellement le risque pour l’activité ? Il ne s’agit ni d’empiler des contrôles ni de produire un rapport anxiogène, mais d’examiner les protections en place, de vérifier des preuves et de construire une feuille de route compréhensible par la direction.
Le périmètre, la profondeur des vérifications et les livrables déterminent la durée et le prix d’un audit. Pour une PME, la mission doit au minimum couvrir les identités, les postes, la messagerie, les sauvegardes, les accès, les prestataires et la capacité à réagir à un incident.
Pourquoi réaliser un audit cybersécurité dans une PME ?
L’audit crée une photographie structurée du niveau de maîtrise de l’entreprise à un instant donné. Il devient particulièrement utile lorsque l’organisation grandit, change de prestataire, ouvre un nouveau site, migre vers Microsoft 365, renouvelle son assurance ou doit répondre aux exigences d’un client.
Il peut également intervenir après un incident, mais il ne faut pas attendre une compromission pour cadrer les priorités. Une PME dépend souvent de quelques services critiques : messagerie, logiciel métier, fichiers partagés, sauvegardes, téléphonie ou accès distant. L’audit identifie les scénarios capables de perturber ces services et vérifie si les protections actuelles sont cohérentes avec cette dépendance.
- Obtenir une vision indépendante des protections réellement en place.
- Identifier les écarts qui exposent directement l’activité ou les données.
- Prioriser les dépenses au lieu d’ajouter des outils sans vision globale.
- Clarifier les responsabilités entre la direction, les équipes et les prestataires.
- Disposer d’éléments concrets pour suivre les corrections dans le temps.
Diagnostic, audit et test d’intrusion : quelles différences ?
Ces démarches ne répondent pas au même niveau de profondeur. Les confondre conduit souvent à choisir une prestation trop limitée ou, à l’inverse, disproportionnée par rapport au besoin.
| Démarche | Question principale | Résultat attendu |
|---|---|---|
| Diagnostic cyber | Par où commencer ? | Premières mesures prioritaires et orientation. |
| Audit cybersécurité | Quels risques sont réellement maîtrisés ? | Constats vérifiés, scénarios de risque et feuille de route. |
| Test d’intrusion | Peut-on exploiter une faiblesse sur ce périmètre ? | Vulnérabilités exploitables, preuves techniques et remédiations. |
Le dispositif public MonAideCyber proposé par l’ANSSI constitue, par exemple, un diagnostic de premier niveau réalisé en environ 1 h 30. Il fournit des recommandations pour démarrer, mais il ne se présente pas comme un audit technique. Un audit professionnel approfondit ensuite les configurations, les preuves et les dépendances propres à l’organisation.
Quel périmètre faut-il contrôler ?
Le cadrage identifie les sites, utilisateurs, applications, données et partenaires concernés. Il précise les limites de l’intervention, les interlocuteurs, les accès nécessaires et les tests autorisés. Sans ce cadrage, un rapport peut être très détaillé sur un serveur secondaire tout en oubliant le compte Microsoft 365 qui concentre les accès de l’entreprise.
Identités et accès
Comptes utilisateurs et administrateurs, MFA, arrivées et départs, droits, comptes de secours et accès des prestataires.
Postes et serveurs
Inventaire, mises à jour, chiffrement, protections antivirus ou EDR, logiciels autorisés et accès distants.
Messagerie et cloud
Microsoft 365 ou Google Workspace, règles de transfert, partage externe, sécurité du domaine et journaux disponibles.
Réseau et exposition
Pare-feu, Wi-Fi, VPN, segmentation, services accessibles depuis Internet, télémaintenance et équipements non administrés.
Sauvegardes et continuité
Données couvertes, comptes utilisés, isolation, rétention, surveillance, tests de restauration et objectifs de reprise.
Organisation et réaction
Signalement, sensibilisation, gestion d’incident, contacts, responsabilités, fournisseurs critiques et procédures de crise.
Le périmètre doit rester proportionné. Une TPE de dix personnes n’a pas besoin du même dispositif qu’une PME multisite avec un annuaire central, des serveurs, des applications métiers exposées et des obligations contractuelles fortes.
Comment se déroule un audit cybersécurité PME ?
Cadrer le besoin
La direction présente les activités critiques, les changements récents, les contraintes et les raisons de l’audit. Les limites, accès, interlocuteurs et livrables sont validés avant les contrôles.
Collecter les éléments utiles
L’auditeur examine les documents disponibles, échange avec les responsables et rassemble des preuves : listes de comptes, politiques, journaux, configurations, rapports de sauvegarde ou inventaires.
Vérifier les protections
Les déclarations sont confrontées aux configurations et aux usages observables. Selon le périmètre, l’analyse peut intégrer des contrôles techniques non intrusifs ou des tests plus poussés explicitement autorisés.
Relier les constats aux risques
Une faiblesse est replacée dans un scénario métier. Un compte administrateur sans MFA, par exemple, n’est pas seulement un écart technique : il peut permettre l’accès à la messagerie, aux documents et aux outils connectés.
Restituer et décider
La restitution distingue les corrections immédiates, les chantiers structurants et les mesures de suivi. La direction arbitre ensuite les priorités, les responsables et le calendrier.
Combien coûte un audit cybersécurité pour une PME ?
Il n’existe pas de prix unique sérieux sans connaître le périmètre. Un diagnostic ciblé sur Microsoft 365 ou les sauvegardes ne mobilise pas les mêmes moyens qu’un audit transverse de plusieurs sites intégrant des serveurs, des applications métiers, des entretiens et des tests techniques.
Le devis doit expliquer ce qui fait varier le coût : nombre de sites et d’utilisateurs, diversité des environnements, documentation disponible, profondeur des contrôles, présence d’un test d’intrusion, exigences réglementaires et accompagnement après restitution. Une mission courte peut mobiliser quelques demi-journées ; une analyse transverse ou offensive nécessite davantage de préparation, de vérifications et de restitution.
Un rapport volumineux mais impossible à piloter apporte peu de valeur. Le devis doit surtout préciser le périmètre, les limites, les preuves recherchées, les livrables, la restitution et les éventuels contrôles après correction.
Combien de temps faut-il prévoir ?
Le calendrier comprend généralement le cadrage, la collecte, les vérifications, l’analyse, la rédaction et la restitution. La durée dépend autant de la disponibilité des preuves et des interlocuteurs que de la taille technique du système d’information.
Une entreprise bien préparée réduit les échanges inutiles. À l’inverse, l’absence d’inventaire, les accès détenus par plusieurs prestataires ou les configurations non documentées allongent la collecte. Le planning doit aussi réserver un temps à la direction : un audit ne se termine pas à l’envoi d’un PDF, mais lorsque les décisions ont été comprises et attribuées.
Quels livrables devez-vous obtenir ?
Un audit exploitable s’adresse à deux lecteurs. La direction doit comprendre les risques et les arbitrages. Les personnes chargées des corrections doivent retrouver les preuves, le résultat attendu et les dépendances techniques.
- Une synthèse dirigeant présentant les principaux scénarios de risque.
- Un rapport détaillé avec les constats, preuves, limites et recommandations.
- Une feuille de route hiérarchisée selon l’impact, l’effort et les dépendances.
- Une attribution claire des actions aux équipes, prestataires ou spécialistes.
- Des critères permettant de vérifier qu’une correction est réellement terminée.
- Une restitution au cours de laquelle les choix et les points de vigilance sont expliqués.
Lorsque le contexte le justifie, un contrôle de remédiation peut être prévu. Il vérifie que les corrections prioritaires ont produit le résultat attendu sans introduire de nouvel écart.
Comment préparer l’audit sans perdre de temps ?
La préparation ne consiste pas à rendre l’environnement artificiellement parfait. Elle vise à fournir une vision fidèle et à rendre les preuves accessibles. Les écarts identifiés avant la mission peuvent être signalés directement : l’auditeur pourra consacrer davantage de temps aux causes et aux actions durables.
- Nommer un interlocuteur capable de coordonner les équipes et prestataires.
- Rassembler l’inventaire des sites, utilisateurs, équipements et applications.
- Identifier les données et activités dont l’indisponibilité aurait le plus d’impact.
- Préparer les contrats, procédures, derniers rapports et éléments de sauvegarde.
- Créer des accès temporaires et nominatifs plutôt que partager des comptes existants.
- Informer les personnes concernées du calendrier et des contrôles autorisés.
Checklist audit cybersécurité PME : 12 preuves à préparer
Cette checklist ne remplace pas le cadrage, mais elle accélère les vérifications et révèle rapidement les zones non documentées. Une preuve récente vaut mieux qu’une procédure théorique jamais vérifiée.
- Inventaire des utilisateurs, postes, serveurs, équipements réseau et applications.
- Liste des comptes administrateurs, comptes partagés et accès des prestataires.
- État du MFA pour la messagerie, le VPN, les outils cloud et les consoles sensibles.
- Rapport de mises à jour et liste des systèmes arrivés en fin de support.
- Configuration et console de l’antivirus ou de l’EDR, avec les alertes récentes.
- Schéma réseau, accès distants, Wi-Fi et services exposés sur Internet.
- Paramètres de sécurité Microsoft 365 ou Google Workspace.
- Périmètre, rétention, isolation et rapports des sauvegardes.
- Compte rendu du dernier test de restauration et temps réellement mesuré.
- Procédure d’arrivée, de mobilité et de départ des collaborateurs.
- Contacts et fiche réflexe en cas d’incident ou d’indisponibilité.
- Contrats, exigences clients ou questionnaire d’assurance à prendre en compte.
Un élément manquant n’empêche pas l’audit. Il devient simplement un constat à traiter et aide à dimensionner la collecte.
Que faire après l’audit ?
La feuille de route doit rejoindre le pilotage courant de l’entreprise. Les actions sont réparties entre corrections rapides, chantiers structurants et contrôles récurrents. Un responsable, une échéance et une preuve attendue sont associés à chaque priorité.
Il n’est pas nécessaire de remplacer automatiquement le prestataire informatique. Cybeary réalise des évaluations et audits cybersécurité pour les PME, coordonne les actions avec l’équipe interne ou le partenaire existant, puis accompagne les volets qui nécessitent une expertise spécifique : protection managée, sensibilisation, sécurisation de Microsoft 365 ou continuité et reprise.
Pour les entreprises situées à Caen, dans le Calvados ou ailleurs en Normandie, notre page consacrée à la cybersécurité des TPE et PME à Caen présente les modalités d’accompagnement local et à distance.
Questions fréquentes
Quel est le prix d’un audit cybersécurité PME ?
Le prix dépend du périmètre, du nombre de sites, des environnements, de la profondeur des contrôles et des livrables. Un cadrage préalable permet de distinguer un diagnostic ciblé, un audit transverse et un test d’intrusion, puis d’établir un devis proportionné.
Combien de temps dure un audit cyber ?
Une mission ciblée peut être réalisée en quelques demi-journées, tandis qu’un audit transverse nécessite généralement plusieurs jours de collecte, de vérification, d’analyse et de restitution. La disponibilité des interlocuteurs et des preuves influence fortement le calendrier.
Quelle différence entre audit et test d’intrusion ?
L’audit examine un ensemble de protections techniques et organisationnelles. Le test d’intrusion cherche à exploiter des faiblesses sur un périmètre précisément autorisé. Les deux démarches sont complémentaires, mais l’une ne remplace pas automatiquement l’autre.
L’auditeur doit-il accéder à toutes les données ?
Non. Les accès doivent être limités à ce qui est nécessaire et défini pendant le cadrage. Des comptes temporaires, nominatifs et tracés peuvent être utilisés. Les données sensibles, les modalités de conservation et la confidentialité doivent être précisées avant l’intervention.
Faut-il changer de prestataire après l’audit ?
Non. Les recommandations peuvent être mises en œuvre avec le prestataire en place. L’essentiel est de clarifier les responsabilités, les délais, le résultat attendu et les preuves de correction.
Votre contexte
Vous préparez un audit cybersécurité ?
Cadrez le périmètre, les preuves et les livrables avant de demander un devis.
Recevoir un cadrage adapté →