Audit de cybersécurité pour une PME : comment le mener soi-même

En 30 contrôles et quelques heures, une PME peut obtenir une vision claire de ses risques numériques, même sans service informatique. Cet auto-audit transforme des sujets techniques en décisions concrètes sur les accès, les sauvegardes, les postes de travail et les prestataires.

Préparer un audit cybersécurité PME sans équipe informatique

Un audit cybersécurité PME sert à repérer les failles qui exposent l’entreprise à une fraude, un rançongiciel, une perte de données ou une interruption d’activité. L’objectif n’est pas de produire un rapport technique de cent pages. Vous devez savoir où se trouvent les risques, quelles mesures engager et dans quel ordre.

Réservez une demi-journée pour réunir les informations, puis deux à quatre heures pour effectuer les contrôles. Associez la direction, la personne chargée de l’administration, le référent RGPD et, s’il existe, le prestataire informatique. Préparez la liste des salariés, des ordinateurs, des logiciels, des boîtes mail, des fournisseurs numériques et des sauvegardes.

CybersécuritéRançongiciel : que faire dans les premières 24 heures

Pour chaque contrôle, exigez une preuve. Une affirmation orale ne suffit pas. Cherchez une capture de configuration, une facture, un contrat, un journal de sauvegarde, une liste d’utilisateurs ou un test réel.

À retenir : une mesure de sécurité non vérifiée doit être considérée comme absente. Une sauvegarde déclarée mais jamais restaurée ne protège pas réellement l’entreprise.

Adopter une notation simple sur 60 points

Attribuez une note à chacun des 30 contrôles :

• 0 point : mesure absente, inconnue ou non vérifiable ;
• 1 point : mesure partielle, manuelle ou appliquée à une partie des utilisateurs ;
• 2 points : mesure déployée, documentée et contrôlée.

Le total donne une tendance, pas un certificat de sécurité. Un score de 45 avec des sauvegardes inutilisables reste préoccupant. Certains sujets sont prioritaires quelle que soit la note : compte administrateur compromis, absence d’authentification multifacteur, système obsolète, sauvegarde connectée en permanence ou départ d’un salarié non traité.

Grille d’auto-audit cybersécurité en 30 points

Accès, mots de passe et comptes utilisateurs

• 1. Comptes nominatifs : chaque salarié utilise un compte personnel. Aucun identifiant collectif ne sert à accéder aux outils sensibles.
• 2. Authentification multifacteur : elle protège au minimum la messagerie, les services cloud, la banque, la comptabilité et les comptes administrateurs.
• 3. Mots de passe : ils sont longs, uniques et stockés dans un gestionnaire dédié. Les fichiers texte et carnets partagés sont supprimés.
• 4. Droits limités : les salariés disposent uniquement des accès nécessaires à leur fonction. Les droits d’administration restent séparés des usages quotidiens.
• 5. Arrivées et départs : une procédure prévoit la création, la modification et la suppression des comptes. Les accès d’un salarié sortant sont coupés le jour de son départ.

Ordinateurs, smartphones et logiciels

• 6. Inventaire des équipements : une liste recense les ordinateurs, téléphones, tablettes, propriétaires, utilisateurs et versions des systèmes.
• 7. Mises à jour automatiques : les systèmes, navigateurs, logiciels bureautiques et applications métier reçoivent rapidement les correctifs de sécurité.
• 8. Protection des postes : antivirus, pare-feu local et protection contre les comportements suspects sont actifs et supervisés.
• 9. Chiffrement et verrouillage : les ordinateurs portables sont chiffrés. Leur écran se verrouille automatiquement après une courte période d’inactivité.
• 10. Logiciels maîtrisés : les salariés ne peuvent pas installer librement des applications. Les logiciels sans support ou sans licence sont retirés.

Réseau, Wi-Fi et accès à distance

• 11. Routeur et pare-feu : le mot de passe d’origine a été remplacé, le micrologiciel est à jour et l’administration distante est désactivée si elle n’est pas nécessaire.
• 12. Wi-Fi séparé : les visiteurs utilisent un réseau distinct du réseau interne. Le chiffrement Wi-Fi repose sur un protocole récent.
• 13. Télétravail sécurisé : l’accès aux ressources internes passe par une connexion chiffrée avec authentification multifacteur. Les bureaux distants directement exposés à Internet sont proscrits.
• 14. Équipements connectés : imprimantes, caméras, téléphones et objets connectés sont inventoriés, mis à jour et isolés lorsque leur niveau de sécurité est faible.

Sauvegardes et continuité d’activité

• 15. Données couvertes : les fichiers, logiciels métier, données comptables, configurations et messageries indispensables figurent dans le périmètre de sauvegarde.
• 16. Règle 3-2-1 : l’entreprise conserve trois copies des données, sur deux supports différents, dont une copie hors site ou isolée.
• 17. Copie protégée : au moins une sauvegarde est déconnectée, immuable ou inaccessible avec les identifiants ordinaires du réseau.
• 18. Test de restauration : un fichier et un ensemble complet de données ont été restaurés au cours des trois derniers mois. La durée réelle est consignée.

Point de vigilance : la synchronisation d’un dossier vers un espace cloud n’est pas toujours une sauvegarde. Une suppression, un chiffrement malveillant ou une erreur peut être répliqué sur les fichiers synchronisés.

Messagerie, fraude et hameçonnage

• 19. Protection des boîtes mail : l’authentification multifacteur est imposée et les protocoles anciens sont désactivés.
• 20. Domaine de messagerie : les mécanismes limitant l’usurpation du nom de domaine sont configurés et contrôlés.
• 21. Paiements sensibles : tout changement de coordonnées bancaires est confirmé par un second canal, avec un numéro déjà connu. Les virements élevés nécessitent une double validation.
• 22. Signalement des messages : les salariés savent à qui transférer un courriel suspect. La personne chargée du traitement sait bloquer l’expéditeur, réinitialiser un compte et rechercher des messages similaires.

Prestataires, logiciels cloud et sous-traitants

• 23. Registre des fournisseurs : l’entreprise liste les prestataires qui hébergent, administrent ou consultent ses données.
• 24. Clauses contractuelles : les contrats précisent la confidentialité, les sauvegardes, la localisation des données, la notification d’incident et les modalités de restitution.
• 25. Accès externes : chaque prestataire utilise un compte nominatif, limité et désactivable. Les accès permanents sans justification sont supprimés.
• 26. Réversibilité : l’entreprise sait exporter ses données et récupérer ses noms de domaine, licences, configurations et comptes administrateurs en cas de rupture du contrat.

Organisation, salariés et gestion d’incident

• 27. Sensibilisation : les salariés reçoivent au moins une formation annuelle sur les mots de passe, l’hameçonnage, les pièces jointes et la fraude au président.
• 28. Réflexes d’urgence : une fiche indique qui appeler, quels équipements isoler et quelles preuves conserver en cas d’incident.
• 29. Responsabilités : un responsable interne suit les risques, les actions, les prestataires et les renouvellements de contrats.
• 30. Revue périodique : l’auto-audit est répété tous les six mois, ainsi qu’après un déménagement, une acquisition, un changement de logiciel central ou un incident.

Prioriser les corrections selon le risque réel

Ne classez pas les actions uniquement selon leur facilité. Évaluez leur impact sur l’activité et la probabilité d’un incident. Une faille est prioritaire lorsqu’elle touche la messagerie, les données clients, les paiements, l’administration du système ou la capacité à redémarrer l’entreprise.

Utilisez trois niveaux. Le niveau critique concerne une exploitation immédiate ou une paralysie possible : absence de sauvegarde isolée, comptes sans authentification multifacteur, système non maintenu ou accès externe incontrôlé. Le niveau majeur couvre les protections incomplètes : inventaire absent, droits trop larges ou procédure de départ informelle. Le niveau amélioration rassemble la documentation, les tests réguliers et les mesures de suivi.

Pour chaque anomalie, inscrivez un responsable, une échéance, un budget estimé et une preuve attendue. Une action comme « sécuriser les mails » reste inexploitable. Préférez : « activer l’authentification multifacteur sur les 18 comptes avant le 15 mai et exporter la liste des comptes protégés ».

Construire un plan d’actions cybersécurité sur trois mois

Premier mois : réduire l’exposition immédiate

Commencez par la messagerie et les comptes d’administration. Activez l’authentification multifacteur, supprimez les comptes inutilisés et changez les mots de passe partagés. Corrigez ensuite les systèmes obsolètes. Vérifiez enfin qu’une sauvegarde isolée existe et qu’une restauration fonctionne.

Deuxième mois : remettre de l’ordre

Créez l’inventaire des équipements, applications et fournisseurs. Attribuez chaque ressource à un responsable. Réduisez les droits, séparez le Wi-Fi invité et encadrez les accès du prestataire informatique. Formalisez une procédure d’arrivée et de départ tenant sur une page.

Troisième mois : éprouver le dispositif

Organisez un test de restauration chronométré. Simulez la réception d’une fausse demande de virement et un vol d’ordinateur. Vérifiez que les salariés identifient le bon interlocuteur et que l’entreprise sait isoler un poste. Reprenez ensuite les 30 contrôles pour mesurer les progrès.

Quand confier l’audit à un prestataire spécialisé

L’auto-audit convient pour établir un état des lieux et corriger les défauts visibles. Une intervention externe devient pertinente si l’entreprise traite des données sensibles, dépend fortement de son système d’information ou subit des demandes précises d’un assureur ou d’un donneur d’ordre.

CybersécuritéAssurance cyber pour PME : ce qu’elle couvre, ce qu’elle exige

Faites également intervenir un spécialiste après une cyberattaque, avant une acquisition, lors d’une migration majeure ou lorsque personne ne maîtrise l’architecture technique. Un test d’intrusion exige des compétences et un cadre contractuel. Il ne doit jamais être improvisé sur un système en production.

• Audit de premier niveau : entre 800 et 2 500 euros hors taxes pour une petite structure et un périmètre limité ;
• Audit organisationnel et technique approfondi : entre 2 500 et 7 000 euros hors taxes ;
• Test d’intrusion : entre 3 000 et 10 000 euros hors taxes selon le nombre de sites, d’applications et d’adresses exposées ;
• Accompagnement récurrent : quelques centaines à plusieurs milliers d’euros par mois selon la supervision et le nombre de postes.

Ces fourchettes restent indicatives. Demandez un devis qui précise le périmètre, les méthodes, les exclusions, les livrables et la réunion de restitution. Le rapport doit classer les risques, fournir des preuves compréhensibles et proposer des corrections adaptées aux moyens de la PME.

Répondre aux exigences des assureurs et des donneurs d’ordre

Les questionnaires d’assurance cyber vérifient souvent les mêmes fondamentaux : authentification multifacteur, sauvegardes isolées, mises à jour, antivirus supervisé, contrôle des accès distants, sensibilisation et plan de réponse à incident. Une déclaration inexacte fragilise le dossier lors d’un sinistre. Conservez donc les preuves de chaque réponse.

Les grands clients demandent aussi des garanties à leurs fournisseurs. Ils cherchent à réduire le risque de fuite de données, d’arrêt de la chaîne logistique ou d’intrusion par un sous-traitant. Même lorsqu’une PME n’entre pas directement dans le champ d’une réglementation sectorielle, ses contrats lui imposent souvent des mesures comparables.

Dossier de preuve à conserver : résultat daté de l’audit, inventaire des actifs, rapports de sauvegarde, compte rendu du test de restauration, liste des comptes protégés par MFA, attestations de sensibilisation, plan d’action et contrats des prestataires.

Mettez ce dossier à jour tous les six mois. En cas de questionnaire client, de renouvellement d’assurance ou d’incident, la PME dispose alors d’éléments vérifiables plutôt que de réponses approximatives.