Un audit utile ne produit pas un rapport de quarante pages. Il produit une liste de choses à faire, classées par ordre d'importance.
Beaucoup d'audits de sécurité aboutissent à un document que personne ne lit, parce qu'il est rédigé pour prouver le sérieux de son auteur plutôt que pour être appliqué. Notre approche est inverse : un état des lieux compréhensible, et un plan d'action que vous pouvez mettre en œuvre, y compris sans nous.
Les postes de travail. Systèmes encore suivis ou abandonnés, mises à jour appliquées, antivirus actif et à jour, chiffrement des portables, droits des utilisateurs. Nous relevons aussi les machines dont le matériel ne permet plus de recevoir de correctifs - un point qui devient déterminant depuis la fin du support de Windows 10.
Les comptes et les accès. Qui a accès à quoi, avec quels droits. Les comptes partagés entre plusieurs personnes, les comptes d'anciens salariés jamais désactivés, les administrateurs en surnombre. La double authentification, présente ou absente, et sur quels services.
La messagerie. C'est la porte d'entrée principale. Règles de transfert automatique existantes, applications tierces autorisées, historique des connexions inhabituelles, et robustesse des mots de passe.
Les sauvegardes. Ce qui est sauvegardé, à quelle fréquence, où, et depuis quand cela fonctionne réellement. Nous testons une restauration : c'est le seul contrôle qui ait une valeur.
Le réseau. Box ou routeur, mots de passe d'administration laissés par défaut, Wi-Fi et son chiffrement, réseau invité séparé ou non, accès distants ouverts sur Internet. Voir sécurisation informatique pour PME.
Les serveurs et NAS, s'il y en a : droits sur les partages, mises à jour du firmware, exposition éventuelle sur Internet.
Trois constats reviennent dans presque tous les audits que nous menons. Une sauvegarde qui ne tourne plus depuis des semaines ou des mois, sans que personne ne l'ait remarqué - c'est le plus fréquent et le plus grave. Des accès d'anciens collaborateurs toujours actifs. Et un accès distant ouvert sur Internet avec un mot de passe simple, souvent mis en place dans l'urgence pour dépanner quelqu'un, puis oublié.
Un document court, en français courant, structuré en trois parties.
Ce qui va bien. Oui, cela figure aussi. C'est utile : cela évite de refaire ce qui est déjà en place, et cela donne une mesure réaliste de votre situation.
Ce qui doit être corrigé rapidement, avec pour chaque point le risque concret associé - pas une note technique, mais ce qui peut arriver et ce que cela coûterait. Cette partie est courte : en général trois à six points.
Ce qui mérite d'être amélioré, sans urgence, avec un ordre de priorité.
Chaque point indique s'il est gratuit ou payant, et le temps approximatif de mise en œuvre. Vous pouvez confier les corrections à qui vous voulez, y compris à votre prestataire habituel.
Autant être clair sur le périmètre. Nous ne réalisons pas de tests d'intrusion, qui relèvent d'une spécialité différente et s'adressent à des structures d'une autre taille. Nous ne délivrons pas de certification. Et nous ne sommes pas juristes : nous signalons ce qui relève de la protection des données personnelles, mais nous ne nous substituons pas à un conseil spécialisé.
Ce que nous faisons, c'est identifier les écarts qui exposent réellement une petite structure, et les rendre corrigeables.
Pour une structure de trois à quinze postes, comptez une demi-journée sur site, plus le temps de rédaction. Nous avons besoin d'un accès aux machines et d'un échange avec la personne qui s'occupe habituellement de l'informatique - même si ce n'est pas son métier, ce qui est le cas dans la plupart des petites entreprises.
La restitution se fait de vive voix, pas seulement par écrit. C'est le moment le plus utile de la démarche : les questions qui s'y posent révèlent souvent des usages qu'aucun examen technique n'aurait montrés.
Vous n'êtes tenu à rien. Beaucoup de nos clients traitent eux-mêmes les points gratuits et nous confient les autres. D'autres nous demandent de tout mettre en œuvre. Certains ne font rien la première année, puis nous rappellent après un incident chez un confrère - c'est fréquent, et c'est humain.
Un audit refait au bout d'un ou deux ans a du sens : les parcs bougent, les gens changent, et les sauvegardes s'arrêtent silencieusement. Voir dépannage en entreprise et sécurisation PME.
Oui, et il est même souvent plus révélateur : dans les petites structures, personne n'a l'informatique dans ses attributions, et les points faibles s'accumulent sans que quiconque les voie.
Non. L'essentiel se fait par observation et par consultation des configurations. Seul le test de restauration demande un peu de disponibilité, et il se planifie.
C'est précisément l'objectif. Chaque point indique le risque concret et ce que coûte la correction. Un rapport que vous ne pouvez pas utiliser ne sert à rien.
Oui, mais rien ne vous y oblige. Le document est rédigé pour être exploitable par n'importe quel prestataire, y compris celui qui vous accompagne déjà.
Vous ne trouvez pas votre question ? Elle est peut-être dans notre FAQ complète.
Tout ce qu'il faut savoir avant de nous confier votre matériel.
210 questions sur les pannes, la sécurité, le réseau et la sauvegarde.
Ce que disent les particuliers et les entreprises que nous accompagnons.
Lyon, Villeurbanne, Caluire, Tassin, Écully et tout le Rhône.
Décrivez votre panne : nous répondons avec un premier avis.
Un état des lieux court et exploitable, avec les priorités classées par risque réel.