Audit de cybersécurité : par où commencer dans une PME ou une collectivité ?

Formuler une question qui guidera l’audit

Souhaitez-vous connaître les comptes trop privilégiés, vérifier une configuration, préparer une reprise ou examiner une exposition sur Internet ? Une question précise permet de choisir les contrôles et les livrables. Un audit général sans objectif peut produire une longue liste de constats difficile à traduire en décisions.

Associez direction, métiers et responsables techniques. Pour une collectivité, examinez les services aux usagers et les dépendances avec les logiciels ou prestataires. Identifiez les actifs critiques, les données sensibles et les périodes où une intervention technique serait difficile. La criticité doit être expliquée en termes d’activité.

Rassembler un inventaire et des preuves utiles

Préparez la liste des équipements, services cloud, comptes à privilèges, accès distants et sauvegardes. Indiquez leur propriétaire et les intervenants. Les contrats, schémas et procédures existants permettent de comprendre la répartition des responsabilités. Signalez les zones d’incertitude au lieu de les masquer dans un inventaire présenté comme complet.

Les preuves peuvent comprendre une configuration, un rapport de restauration ou une revue des droits. Une déclaration comme nous avons un antivirus doit être rapprochée du parc effectivement couvert et de la supervision. Les informations d’audit sont sensibles : définissez leur transmission, leurs destinataires et leur conservation.

Choisir le contrôle adapté et son autorisation

Un entretien organisationnel éclaire les responsabilités ; une revue de configuration examine les réglages ; un test technique cherche des faiblesses dans un périmètre défini. Un test d’intrusion demande un cadre précis : cibles autorisées, créneaux, actions admises, contacts et conditions d’arrêt. N’assimilez pas un simple scan à un audit complet.

Vérifiez les exigences éventuelles de qualification pour votre contexte. L’ANSSI documente notamment le référentiel PASSI pour des prestations d’audit qualifiées. Citer ce cadre ne signifie pas que CAP Solutions possède cette qualification. Si une exigence s’applique, contrôlez le titulaire, le périmètre et la validité dans les références officielles.

Prioriser les corrections par risque et dépendance

Chaque constat doit préciser la preuve, l’impact possible, les actifs concernés et une correction compréhensible. La priorité ne dépend pas uniquement d’un score technique : une faiblesse sur un service exposé ou une sauvegarde inaccessible peut demander un traitement rapide selon le contexte.

Identifiez les corrections simples et les chantiers qui nécessitent une préparation. Attribuez un responsable, une échéance et un mode de vérification. Une exception acceptée doit être documentée avec une mesure compensatoire si nécessaire et une date de revue. Évitez les recommandations sans propriétaire.

Demander un constat que l’on peut faire corriger

Exemple pédagogique de constat : un compte d’administration devenu inutile conserve des droits. Le rapport identifie le périmètre autorisé, la preuve datée sans secret exposé, le risque, le responsable de décision et l’action proposée. La correction ne consiste pas à cocher supprimé : vérifiez le retrait des droits, les dépendances éventuelles et la trace de clôture.

Distinguez fait observé, hypothèse à confirmer et zone non testée. Un rapport utile indique les limites de ses accès et de ses essais ; une absence d’anomalie sur un échantillon n’est pas une certification de tout le système. Demandez une priorité liée aux conséquences et aux dépendances, puis un contrôle de correction convenu. Les tests intrusifs nécessitent un périmètre et une autorisation explicites ; leur présence ne doit pas être supposée dans toute prestation d’audit.

Recevoir le rapport et vérifier ce qui a changé

Exemple pédagogique : un état des lieux révèle qu’un compte de maintenance n’a plus de propriétaire et reste utilisable. La correction comprend l’identification des dépendances, le retrait ou l’adaptation de l’accès et un test. Le dossier de clôture doit prouver le changement, pas seulement indiquer action faite.

Demandez un résumé pour la direction et un détail exploitable par les équipes techniques. Prévoyez un contrôle des corrections prioritaires et une revue lorsque l’environnement change. Un audit décrit une situation à un moment donné ; il ne garantit ni l’absence de vulnérabilité ni une sécurité durable sans suivi.

CAP Solutions accompagne les projets de cybersécurité en France entière, avec un périmètre et des responsabilités convenus. Préparez votre question prioritaire et votre inventaire pour définir l’étude ou les contrôles adaptés, sans supposer un type d’audit qualifié ni une certification non documentée.