Audit informatique : ce qu'il doit contenir et comment le juger

À quoi sert un audit informatique ?

Un audit informatique répond à des questions que tout dirigeant devrait pouvoir trancher : mon matériel tiendra-t-il encore deux ans ? Mes sauvegardes fonctionnent-elles réellement ? Suis-je exposé à une cyberattaque ? Suis-je en règle avec le RGPD ? Combien devrais-je budgéter, et pour quoi ?

Trop souvent, ces questions restent sans réponse jusqu'à l'incident. L'audit remplace les impressions par des constats vérifiables : ce qui va, ce qui ne va pas, ce qui est urgent, et l'ordre de grandeur du coût des corrections. Il est particulièrement utile avant une décision structurante : changer de prestataire, souscrire une infogérance, déménager, absorber une forte croissance ou après un incident de sécurité.

Les quatre volets d'un audit sérieux

• Matériel et infrastructure : inventaire des postes, serveurs et équipements réseau, âge, garanties, obsolescence (systèmes qui ne reçoivent plus de mises à jour), points de défaillance uniques. Un bon inventaire est aussi la base d'une gestion de parc saine.
• Sécurité : état des mises à jour, protection des postes, mots de passe et comptes à privilèges, authentification multifacteur, services exposés sur Internet, cloisonnement du réseau, sensibilisation des équipes au phishing.
• Sauvegardes et continuité : périmètre réellement sauvegardé, respect de la règle 3-2-1, copie hors ligne ou immuable, tests de restauration, capacité à redémarrer après sinistre — l'embryon d'un plan de reprise d'activité.
• Conformité, contrats et dépendances : obligations RGPD, licences logicielles, contrats fournisseurs et leurs engagements de service, dépendances critiques (qui détient le nom de domaine, les accès administrateur, la messagerie ?).

Méfiez-vous d'un audit qui ne traite qu'un volet tout en se présentant comme « complet ». Un scan de vulnérabilités automatisé, par exemple, est utile mais ne dit rien de vos sauvegardes ni de vos contrats.

Comment se déroule un audit, en pratique

Pour une TPE ou une PME, un audit généraliste s'étale généralement sur une à trois semaines calendaires, pour quelques jours de travail effectif de l'auditeur. Les étapes habituelles :

1. Cadrage : entretien avec la direction pour comprendre l'activité, les applications critiques et les priorités. Le périmètre et les livrables sont écrits avant le démarrage.
2. Collecte technique : outils d'inventaire, examen des configurations (pare-feu, comptes, sauvegardes), éventuellement scan de vulnérabilités. La collecte doit être non intrusive et planifiée avec vous.
3. Entretiens courts avec les utilisateurs clés et, le cas échéant, avec le prestataire actuel.
4. Restitution : présentation orale des constats et remise des livrables, avec un temps pour vos questions.

Un audit de sécurité approfondi (test d'intrusion, revue de code, audit d'architecture) est un exercice différent, plus long et plus coûteux, réservé aux systèmes exposés ou sensibles.

Les livrables à exiger

Un audit qui se termine par 60 pages de jargon ne sert à rien. Exigez par écrit, avant de signer :

• Une synthèse pour la direction de deux à trois pages, compréhensible sans bagage technique : les risques principaux et leurs conséquences possibles pour l'activité.
• Un rapport détaillé où chaque constat est étayé (capture, extrait de configuration, mesure) et daté.
• Un plan d'action priorisé : chaque action classée (critique, importante, recommandée), avec un ordre de grandeur de coût et d'effort, et sans nom de produit imposé quand plusieurs solutions sont possibles.
• L'inventaire brut (postes, serveurs, licences, comptes) dans un format réutilisable, tableur par exemple.
• La propriété des livrables : le rapport vous appartient et vous pouvez le transmettre à n'importe quel prestataire pour faire chiffrer les travaux.

Prix d'un audit informatique : fourchettes indicatives

Les montants ci-dessous sont des ordres de grandeur couramment pratiqués sur le marché français, à titre indicatif et hors taxes. Ils varient selon la taille du parc, le nombre de sites, la profondeur d'analyse et la région.

Pour comparer deux propositions, ramenez-les au nombre de jours d'auditeur et à la liste des livrables : un tarif journalier de consultant se situe souvent entre 600 et 1 200 € HT. Un prix très bas cache fréquemment un scan automatique sans analyse humaine.

Conflit d'intérêts : quand l'auditeur vend aussi la solution

Beaucoup d'audits sont réalisés par des prestataires qui vendent ensuite les travaux, le matériel ou un contrat d'infogérance. Ce n'est pas illégitime, mais le risque est évident : un audit qui conclut systématiquement au remplacement du parc ou à la souscription de l'offre maison. Quelques réflexes :

• demandez si l'auditeur perçoit des commissions ou des marges sur les produits qu'il recommande ;
• exigez que le plan d'action décrive des besoins (« protection des postes avec détection comportementale ») plutôt qu'une marque unique ;
• faites chiffrer les travaux par au moins un autre prestataire sur la base du même rapport ;
• pour un second avis indépendant, un consultant qui ne revend rien (voir conseil informatique) est souvent plus neutre.

Les « audits gratuits », un outil commercial

L'audit offert est une pratique courante de prospection. Il peut être utile, mais gardez en tête ce qu'il est : un rendez-vous de vente. En général, il est court, peu documenté, et le livrable se résume à une proposition commerciale. Avant d'ouvrir vos accès administrateur à un inconnu, vérifiez qui il est, limitez les droits accordés et changez les mots de passe communiqués une fois la visite terminée. Si le « rapport » ne contient aucun constat vérifiable, considérez-le comme un devis, pas comme un audit.

S'auto-évaluer avec les ressources officielles

Avant même de faire appel à un auditeur, plusieurs ressources publiques permettent de mesurer son niveau de base :

• le guide d'hygiène informatique de l'ANSSI et son guide pour les TPE/PME, qui listent les mesures essentielles et servent de grille de lecture ;
• MonAideCyber, le dispositif de l'ANSSI qui propose aux petites structures un premier diagnostic accompagné par des aidants bénévoles ;
• les fiches et kits de sensibilisation de cybermalveillance.gouv.fr, qui référence aussi des prestataires titulaires du label ExpertCyber ;
• pour des audits de sécurité exigeants, l'ANSSI publie la liste des prestataires qualifiés PASSI (prestataires d'audit de la sécurité des systèmes d'information).