Comment réaliser un pré-audit cybersécurité ?
Un pré-audit cybersécurité ne cherche pas à exploiter des vulnérabilités techniques précises, contrairement à un test d'intrusion. Il évalue la posture globale de l'organisation : infrastructure, gestion des accès, sauvegardes, plan de reprise d'activité, gestion des vulnérabilités, supervision. L'objectif est d'obtenir une cartographie des risques en quelques jours, pas au terme de plusieurs semaines de tests techniques approfondis.
Les domaines à couvrir en priorité sont ceux dont la défaillance a le plus de conséquences. Une gestion des accès laxiste (comptes partagés, absence d'authentification à plusieurs facteurs) ou des sauvegardes jamais testées comptent, année après année, parmi les causes les plus citées d'incidents par Cybermalveillance.gouv.fr, le dispositif public qui accompagne les victimes de cyberattaques en France, bien davantage que l'exploitation de vulnérabilités logicielles sophistiquées.
Pourquoi les PME sont particulièrement exposées
Dans son rapport d'activité 2024, Cybermalveillance.gouv.fr recense plus de 420 000 demandes d'assistance, en hausse de près de 50 % sur un an, dont une part croissante émane d'entreprises, majoritairement des TPE-PME. Le phishing reste la première menace citée, impliqué dans environ 73 % des intrusions subies par les PME en 2024. Selon l'étude OpinionWay « Cyber Impact » commandée par le dispositif, 68 % des PME consacrent moins de 2 000 € par an à leur sécurité informatique, un budget largement inférieur au coût moyen d'un incident.
L'ANSSI, dans son Panorama de la cybermenace 2024, a traité 4 386 événements de sécurité et 144 compromissions par rançongiciel avérées, un chiffre en hausse de 15 % sur un an. Les PME représentent à elles seules 37 % des victimes de rançongiciels recensées, la catégorie la plus touchée devant les grandes entreprises et les collectivités. Ces chiffres ne mesurent qu'une fraction des incidents réels, la plupart des PME ne signalant jamais les attaques dont elles sont victimes.
Diagnostic Cybersécurité·Voir un aperçu du diagnostic
Les étapes concrètes d'un pré-audit
- Cadrer le périmètre : quels systèmes, quels sites, quelles équipes sont couverts par le pré-audit, et sur quelle durée.
- Collecter la documentation existante : schéma réseau, inventaire des actifs, politique de sauvegarde, contrats avec les prestataires informatiques.
- Interroger les responsables métier et IT sur les pratiques réelles, pas seulement sur les procédures écrites — l'écart entre les deux est souvent le signal le plus révélateur.
- Vérifier concrètement les points critiques : tester une restauration de sauvegarde, contrôler la liste des comptes à privilèges, examiner les journaux de connexion des derniers mois.
- Croiser les constats avec un référentiel reconnu (guide d'hygiène informatique de l'ANSSI, contrôles ISO 27001) pour objectiver le niveau de maturité.
- Restituer les résultats sous forme de risques priorisés, avec pour chacun un niveau de gravité, un effort de remédiation estimé et un responsable désigné.
Les domaines à examiner en priorité
| Domaine | Ce qu'on vérifie | Signal d'alerte fréquent |
|---|---|---|
| Gestion des accès | Comptes à privilèges, MFA, revue des droits | Comptes partagés, ex-employés encore actifs |
| Sauvegardes | Fréquence, isolement, tests de restauration | Aucune restauration testée depuis plus d'un an |
| Postes et serveurs | Niveau de correctifs, antivirus/EDR, chiffrement | Systèmes obsolètes non supportés en production |
| Réseau et exposition externe | Services exposés, VPN, segmentation | Ports ou services ouverts sans justification documentée |
| Plan de reprise d'activité | Existence, dernière mise à jour, test réel | Plan rédigé une fois puis jamais révisé |
| Sensibilisation | Formation du personnel, simulations de phishing | Aucune action de sensibilisation depuis l'embauche |
Pour une entreprise sans équipe sécurité dédiée, l'enjeu est autant organisationnel que technique : qui décide en cas d'incident, qui a accès à quoi, à quand remonte le dernier test de restauration réussi. Ce sont des questions simples à poser, qui restent pourtant souvent sans réponse claire faute d'avoir jamais été posées formellement. Le rapport Verizon DBIR 2024, qui analyse plus de 10 000 violations de données confirmées à travers le monde, constate que 68 % des incidents impliquent un facteur humain non malveillant — une erreur de configuration, un clic sur un lien piégé, un mot de passe réutilisé — bien plus souvent qu'une faille technique sophistiquée.
Erreurs fréquentes à éviter
- Confondre pré-audit et test d'intrusion : le premier évalue la posture globale, le second exploite des failles techniques précises sur un périmètre restreint.
- Se limiter aux aspects techniques sans interroger les processus (qui décide, qui alerte, qui remédie) alors que la majorité des incidents ont une composante humaine ou organisationnelle.
- Produire un rapport exhaustif de cinquante pages plutôt qu'une liste courte et hiérarchisée de risques réellement actionnables.
- Ne pas fixer de date de suivi : un pré-audit sans plan d'action daté reste souvent lettre morte six mois plus tard.
Un pré-audit bien mené se conclut par une liste de risques hiérarchisés par impact et effort de remédiation, directement actionnable, plutôt que par un rapport que personne ne lira en entier. Sa limite est réelle : il photographie un état à un instant donné et ne remplace ni un test d'intrusion pour les systèmes exposés publiquement, ni un audit de certification si l'entreprise vise ISO 27001 ou doit répondre à des exigences contractuelles précises.
Diagnostic associé
Prêt à évaluer votre organisation ?
Essayer gratuitement