Un dirigeant ne demande généralement pas un audit parce qu’il aime les tableaux de risques. Il le demande après un e-mail suspect, un départ de salarié mal géré, une sauvegarde jamais testée ou une demande d’un client exigeant. Cet exemple d’audit cybersécurité PME montre ce que l’on contrôle réellement, ce que les résultats signifient et comment passer d’un constat technique à un plan d’action exploitable.
Pour une PME de 5 à 200 collaborateurs, l’objectif n’est pas d’accumuler des outils. Il s’agit de réduire les scénarios qui peuvent arrêter la production, bloquer la facturation, exposer des données clients ou rendre les équipes injoignables. Un audit utile est donc proportionné à l’activité, aux usages et aux ressources disponibles.
Exemple d’audit cybersécurité PME : le contexte
Prenons le cas d’une entreprise de services de 35 collaborateurs, avec un siège en Île-de-France, quelques salariés en télétravail et deux sites connectés en VPN. Elle utilise Microsoft 365, un logiciel de gestion hébergé chez un éditeur, des postes Windows, des smartphones professionnels et une téléphonie IP. L’informatique est gérée par un responsable administratif, épaulé ponctuellement par un prestataire.
L’entreprise souhaite vérifier son niveau de sécurité après avoir reçu plusieurs tentatives de fraude au virement. Elle veut aussi s’assurer qu’une panne, un ransomware ou l’indisponibilité de sa messagerie ne bloque pas son activité pendant plusieurs jours.
L’audit démarre par un cadrage. Il définit le périmètre, les interlocuteurs, les accès nécessaires et les priorités métier. Dans cet exemple, la comptabilité, les données clients, la messagerie et le système téléphonique sont identifiés comme critiques. Cette étape évite un audit trop théorique ou, à l’inverse, un contrôle technique sans lien avec les risques réels.
Ce que l’auditeur vérifie sur le terrain
Un audit cybersécurité ne se limite pas à lancer un scan de vulnérabilités. Il combine entretiens, analyse documentaire, vérifications de configuration et observations des usages. Le niveau de profondeur dépend du budget, de la sensibilité des données et de l’exposition de l’entreprise.
Identités, comptes et droits d’accès
Le premier contrôle concerne les accès. Qui possède un compte administrateur ? Les anciens salariés conservent-ils un accès à la messagerie ou aux applications ? L’authentification multifacteur est-elle activée pour les services cloud, les connexions VPN et les comptes à privilèges ?
Dans notre exemple, l’auditeur constate que la double authentification est activée pour la direction, mais pas pour tous les utilisateurs. Deux comptes d’anciens collaborateurs sont encore présents dans l’annuaire. Un compte administrateur partagé est utilisé pour certaines opérations courantes. Ces écarts paraissent simples à corriger, mais ils ouvrent la voie à des compromissions très fréquentes.
Postes, serveurs et mises à jour
L’audit examine ensuite le parc informatique : version des systèmes, chiffrement des disques, antivirus ou EDR, correctifs de sécurité, logiciels obsolètes et règles d’administration. Un poste non mis à jour peut servir de point d’entrée, même si le pare-feu est correctement configuré.
La PME étudiée dispose d’un antivirus sur la majorité des postes. En revanche, six ordinateurs portables n’ont pas reçu certains correctifs critiques depuis plusieurs mois, faute de supervision centralisée. Trois machines ne sont pas chiffrées. Si l’une d’elles est perdue dans un train ou volée, les données locales peuvent être accessibles.
Réseau, Wi-Fi et accès distants
Le réseau doit séparer ce qui ne doit pas communiquer librement : postes utilisateurs, serveurs, Wi-Fi visiteurs, imprimantes, équipements de téléphonie et objets connectés. L’audit vérifie également les pare-feux, les accès distants, les mots de passe des équipements et la journalisation des événements.
Dans cet exemple, le Wi-Fi invité partage le même réseau que les postes de travail. Le boîtier de connexion distant utilise un mot de passe administrateur ancien et aucun mécanisme de double authentification. Ce n’est pas nécessairement une faille exploitée à l’instant T, mais c’est un risque prioritaire car l’accès distant est directement exposé aux attaques automatisées.
Messagerie, fraude et usages collaborateurs
La messagerie reste l’un des premiers vecteurs d’intrusion. L’audit contrôle les protections anti-phishing, les règles de transfert automatique, les délégations de boîtes aux lettres et les paramètres de sécurité du domaine. Il évalue aussi les réflexes internes : comment un collaborateur signale-t-il un message douteux ? Une procédure de validation existe-t-elle avant un changement de RIB ou un virement exceptionnel ?
L’entreprise dispose d’un filtre antispam standard, mais aucune procédure écrite de contrôle des demandes de paiement. L’audit ne conclut pas que les utilisateurs sont « le maillon faible ». Il met en évidence un processus incomplet : face à une fraude crédible, même un collaborateur vigilant peut se tromper s’il n’a ni règle claire ni interlocuteur de vérification.
Sauvegardes et continuité d’activité
Une sauvegarde n’est utile que si elle est protégée, surveillée et restaurable. L’audit vérifie les données couvertes, la fréquence, la rétention, l’isolation des copies, le chiffrement et les tests de restauration. Il examine aussi la capacité de l’entreprise à travailler en mode dégradé lorsque la messagerie, le serveur de fichiers ou la téléphonie sont indisponibles.
Ici, les serveurs sont sauvegardés chaque nuit dans le cloud. En revanche, les données Microsoft 365 ne font pas l’objet d’une sauvegarde dédiée et aucun test de restauration complet n’a été réalisé depuis plus d’un an. Le constat est nuancé : la sauvegarde existe, mais sa capacité à remettre rapidement l’entreprise en activité n’est pas démontrée.
Exemple de restitution et de priorisation
La valeur d’un audit se mesure à la clarté de sa restitution. Un rapport de 80 pages rempli de termes techniques n’aide pas un dirigeant à arbitrer. Les constats doivent être classés selon leur criticité, leur impact métier, leur probabilité et l’effort de correction.
| Constat | Risque métier | Priorité | Action recommandée | |—|—|—|—| | MFA absente pour certains comptes | Compromission de messagerie et fraude | Critique | Généraliser la MFA, notamment pour les comptes sensibles | | Comptes d’anciens salariés actifs | Accès non autorisé aux données | Élevée | Mettre en place une procédure d’arrivée et de départ | | Wi-Fi invité non isolé | Propagation sur le réseau interne | Élevée | Créer une segmentation réseau dédiée | | Correctifs non supervisés | Exploitation de vulnérabilités connues | Élevée | Centraliser la gestion des mises à jour | | Restaurations non testées | Reprise d’activité incertaine | Élevée | Planifier des tests trimestriels documentés |
Dans ce cas, la feuille de route peut être organisée sur 90 jours. Les deux premières semaines servent à fermer les accès inutiles, activer la MFA et sécuriser l’accès distant. Le mois suivant couvre la segmentation réseau, le chiffrement des postes et le pilotage des mises à jour. Enfin, l’entreprise formalise ses procédures de gestion des incidents et teste la restauration de données critiques.
Cette priorisation change la discussion. Au lieu de demander « faut-il acheter une nouvelle solution ? », la direction peut décider quelles actions limitent le plus rapidement le risque d’arrêt d’activité. Certaines corrections nécessitent un investissement. D’autres relèvent simplement d’une meilleure gestion des comptes, des droits et des procédures.
Audit, test d’intrusion et conformité : ne pas confondre
Un audit de cybersécurité évalue l’organisation globale : configurations, pratiques, protections, sauvegardes et gouvernance. Un test d’intrusion cherche, lui, à exploiter activement des faiblesses pour mesurer ce qu’un attaquant pourrait atteindre. Les deux approches sont complémentaires, mais ne répondent pas au même besoin.
Pour une PME peu structurée, commencer par un audit est souvent plus pertinent. Il permet de corriger les écarts fondamentaux avant d’investir dans un test d’intrusion approfondi. En revanche, une entreprise qui héberge des données sensibles, travaille avec de grands comptes ou expose des applications métiers sur Internet peut avoir intérêt à combiner les deux.
La conformité, notamment RGPD, ne doit pas être réduite à un dossier administratif. Les mesures de sécurité, la gestion des accès, la traçabilité et la capacité à réagir à un incident participent directement à la protection des données personnelles. Un audit peut alimenter cette démarche, sans se substituer à une analyse juridique ou à un accompagnement DPO lorsque celui-ci est nécessaire.
Transformer l’audit en sécurité opérationnelle
Le risque le plus courant est de produire un rapport, puis de le laisser dans un dossier partagé. La sécurité s’améliore lorsque les actions sont attribuées, suivies et contrôlées dans le temps. Les outils de supervision, la maintenance préventive, le support utilisateurs et les sauvegardes doivent travailler ensemble.
Pour une PME, un partenaire capable de gérer l’informatique, le réseau, la messagerie, les sauvegardes et la téléphonie simplifie aussi la réponse en cas d’incident. Meonet accompagne cette logique avec MeoSecurity et une approche d’infogérance conçue pour maintenir les protections au quotidien, pas seulement lors d’un contrôle ponctuel.
Le bon audit ne cherche pas à faire peur. Il donne à la direction une vision factuelle de ses priorités, aux équipes des consignes applicables et à l’entreprise une trajectoire réaliste. La meilleure première action reste souvent la plus concrète : vérifier dès maintenant qui peut accéder à vos données critiques et si vous sauriez les restaurer demain matin.
