Audit informatique PME : que couvre-t-il ?

Un audit informatique fait l'état des lieux de l'informatique d'une entreprise : ce qui existe, comment c'est configuré, et ce qui présente un risque. Pour une PME, c'est souvent le point de départ d'un changement de prestataire, d'une demande de cyberassurance ou simplement d'une remise en ordre.

Un audit informatique de PME n'a pas besoin d'être volumineux. Il doit être clair, couvrir les bons domaines et déboucher sur des actions concrètes, classées par priorité. Il ne s'agit pas de chercher des coupables, mais de savoir où l'on en est.

Que couvre un audit informatique ?

Selon le contexte, l'audit peut aussi inclure la téléphonie, les imprimantes multifonctions, les accès des fournisseurs externes ou la protection des données au sens de la nLPD. Le périmètre se fixe au départ, par écrit, pour que le rapport réponde aux bonnes questions.

• L'inventaire : postes, serveurs, imprimantes, équipements réseau et téléphones, avec leur âge et leur état.
• La sécurité : mises à jour, protection des postes, double authentification, comptes administrateurs, filtrage des e-mails.
• Les sauvegardes : ce qui est sauvegardé, où, combien de temps, et la date du dernier test de restauration.
• Le réseau : pare-feu, Wi-Fi, séparation des réseaux, accès à distance.
• Les licences : Microsoft 365 et logiciels métier, y compris les licences attribuées à des comptes inactifs.
• La documentation : qui détient les accès, où sont les mots de passe, ce qui est écrit et ce qui ne l'est pas.

Préparer l'audit

Plus ces éléments sont réunis tôt, moins l'audit demande de temps et plus les constats sont fiables. Prévenez aussi les collaborateurs : quelques échanges avec eux révèlent souvent des habitudes que la documentation ignore.

• Les contrats en cours : prestataire, opérateur, licences, maintenance.
• Les accès administrateurs, ou à défaut la liste des personnes qui les détiennent.
• La documentation existante, même partielle.
• Les incidents marquants des derniers mois.

Comment se déroule un audit informatique ?

La durée dépend de la taille du parc et de l'état de la documentation. Les étapes, elles, restent les mêmes. Une bonne partie des vérifications peut se faire à distance ou en dehors des heures chargées, pour limiter la gêne.

Quels livrables attendre ?

Vous devez pouvoir utiliser librement le rapport et le transmettre à un autre prestataire. Il doit être exploitable par n'importe quel prestataire, pas seulement par celui qui l'a rédigé. Un rapport qui se limite à des captures d'outils automatiques, ou qui se conclut uniquement par une offre, répond mal à cette attente.

• Un inventaire du matériel, des logiciels et des comptes.
• Une liste des risques, chacun décrit en termes compréhensibles, avec son impact possible.
• Des recommandations concrètes et réalistes pour chaque risque.
• Une synthèse pour la direction, lisible sans connaissances techniques.

Prioriser les risques, puis passer à l'action

Tous les constats n'ont pas le même poids. Chaque risque se classe selon sa probabilité et son impact : arrêt de l'activité, perte de données, atteinte à des données personnelles au sens de la nLPD. Des référentiels reconnus, comme les CIS Controls ou le NIST Cybersecurity Framework, sur lesquels SysPros s'appuie en cybersécurité, aident à situer l'entreprise.

Commencez par les risques élevés et simples à corriger : activer la double authentification, tester une restauration, fermer un accès inutile. Les chantiers plus lourds se planifient ensuite dans le budget des années suivantes. Un audit reste une photographie à une date donnée : refaites le point après chaque changement important.