Audit de cybersécurité pour PME : déroulé, livrables et budget

Un audit de cybersécurité pour PME évalue la sécurité de votre système d'information (postes, serveurs, réseau, applications, comptes, procédures) et se termine par trois livrables : un rapport, une liste de vulnérabilités classées par gravité et un plan de correction priorisé. Il se déroule en quatre temps : cadrage, vérifications, analyse, restitution. Le budget dépend d'abord du périmètre et des types de vérifications retenus.

Ce guide décrit ce que vous pouvez demander à un auditeur, ce que vous devez préparer, les dispositifs publics gratuits à utiliser avant de payer quoi que ce soit, et les cas où une prestation qualifiée par l'ANSSI est requise.

Ce que recouvre un audit de cybersécurité

« Audit » désigne en pratique plusieurs exercices différents. L'ANSSI en distingue cinq, qui sont aussi les cinq activités de son référentiel pour les prestataires d'audit. Une PME n'a pas besoin des cinq : on les choisit selon ce qu'on veut vérifier.

Deux précisions de l'ANSSI évitent de mauvaises surprises. Un test d'intrusion seul n'a pas vocation à être exhaustif : il montre ce qu'un attaquant peut faire, pas tout ce qui est mal configuré. Et un scan automatisé de vulnérabilités, lancé avec un outil puis exporté tel quel, n'est pas un audit.

Pour une PME de quelques dizaines de postes, la combinaison la plus courante associe un volet organisationnel (entretiens, revue documentaire) et un volet technique (configuration, et test d'intrusion sur les services exposés).

Les étapes d'un audit, du cadrage au suivi

1. Cadrage : vous fixez avec l'auditeur le périmètre (sites, adresses IP, applications, comptes cloud), les types de vérification, les dates et les interlocuteurs. Tout est écrit dans une convention ou un bon de commande signé.
2. Autorisation écrite pour les tests techniques : accéder à un système sans l'accord de son responsable est un délit (article 323-1 du Code pénal, jusqu'à trois ans d'emprisonnement et 100 000 € d'amende). L'autorisation doit venir de la personne qui a le droit de la donner, et des tiers concernés (hébergeur, infogérant).
3. Collecte : documents existants, schéma réseau, liste des comptes à privilèges, entretiens avec la direction et la personne qui gère l'informatique.
4. Vérifications techniques : revue de configuration, puis tests d'intrusion s'ils sont prévus, dans les créneaux convenus.
5. Analyse : chaque constat est qualifié (gravité, facilité d'exploitation, conséquence pour l'activité) et relié à une recommandation.
6. Restitution : présentation à la direction et à l'équipe technique, avec le temps de poser des questions.
7. Suivi : vérification des corrections quelques semaines ou mois plus tard.

Si une faille critique apparaît pendant les tests (un accès administrateur ouvert sur Internet, par exemple), l'auditeur doit vous prévenir immédiatement, sans attendre le rapport. Faites inscrire cette règle dans la convention.

Les livrables à exiger

Le rapport est la seule trace durable de l'audit. Avant de signer, demandez un exemple anonymisé ou le sommaire type. Un rapport utilisable contient au minimum les éléments ci-dessous.

• Une synthèse de deux ou trois pages pour la direction, lisible sans connaissances techniques : niveau de risque global, trois à cinq priorités.
• Le rappel du périmètre réellement audité, des dates et de ce qui n'a pas pu être testé.
• La liste des vulnérabilités, chacune avec sa gravité (par exemple critique, élevée, moyenne, faible), sa description, sa preuve et les systèmes touchés.
• Une recommandation précise par vulnérabilité, pas une phrase générique du type « renforcer la sécurité ».
• Un plan de correction priorisé : ce qui se corrige cette semaine, ce qui demande un budget, ce qui relève d'un projet à plusieurs mois.
• Les points forts constatés, pour savoir ce qu'il ne faut pas casser.

Préparer l'audit côté PME

Chaque information que vous fournissez à l'avance est une information que l'auditeur n'a pas à chercher pendant des jours facturés. Voici la liste à remplir avant la réunion de lancement.

• Inventaire des équipements et logiciels : postes, serveurs, NAS, imprimantes, logiciels métier, abonnements cloud.
• Schéma du réseau, même dessiné à la main, avec les accès distants (VPN, bureau à distance).
• Liste des prestataires : infogérant, hébergeur du site, éditeur du logiciel de gestion, avec leurs contacts.
• Liste des comptes administrateurs et de qui les utilise.
• Procédure de sauvegarde et date du dernier test de restauration.
• Documents existants : charte informatique, registre des traitements RGPD, contrat d'assurance cyber.
• Un interlocuteur disponible pendant les tests et un numéro d'urgence.
• Une sauvegarde récente vérifiée avant toute phase de test technique.

Prévenez aussi les salariés si l'audit comprend des entretiens ou un test de sensibilisation : un audit présenté comme une recherche de coupables fait remonter moins d'informations.

Les dispositifs publics gratuits à connaître

Plusieurs services de l'État sont gratuits et utiles avant un audit payant, pour arriver avec les bases en place, ou après, pour suivre les corrections.

Le diagnostic MonAideCyber n'est pas un audit : il ne teste pas vos systèmes. C'est un bon point de départ si vous n'avez encore rien formalisé, et ses six recommandations peuvent servir de base au cadrage d'un audit plus poussé.

Ce qui fait varier le budget

Les tarifs publiés en ligne pour un audit de cybersécurité varient fortement d'un prestataire à l'autre, et rarement pour le même périmètre. Plutôt que de comparer des montants, comparez ce que couvrent les devis. Le prix d'un audit est un nombre de jours de travail multiplié par un tarif journalier ; ce sont les jours qui varient.

• Le périmètre : nombre de sites, de serveurs, d'applications, d'adresses IP exposées.
• Les types d'audit retenus : un volet organisationnel seul demande moins de jours qu'un audit de configuration complet suivi d'un test d'intrusion.
• Le niveau d'information donné à l'auditeur pour les tests (boîte noire, grise ou blanche).
• La rédaction et la restitution, qui représentent une part réelle du temps.
• La vérification des corrections, incluse ou facturée à part.
• Une exigence de qualification PASSI, quand elle s'applique.

Pour comparer deux devis, demandez le nombre de jours par phase et la liste exacte des cibles. Un devis sans périmètre chiffré ne se compare à rien.

Ce qu'une Junior-Entreprise peut prendre en charge, et la question PASSI

PASSI signifie « prestataire d'audit de la sécurité des systèmes d'information ». C'est une qualification délivrée par l'ANSSI à des prestataires évalués selon un référentiel (version 2.2 publiée fin 2024), pour cinq activités : audit organisationnel et physique, d'architecture, de configuration, de code source, et tests d'intrusion. Hors obligation légale, réglementaire ou contractuelle, le choix d'une prestation qualifiée revient au client.

L'obligation existe surtout pour les opérateurs d'importance vitale : les audits de leurs systèmes d'information d'importance vitale sont faits par une équipe interne ou par un PASSI qualifié, et les contrôles par un PASSI. Elle peut aussi figurer dans le cahier des charges d'un client ou d'un marché public. Dans ces cas, adressez-vous à un prestataire qualifié, dont l'ANSSI publie la liste.

Junior Atlantique, Junior-Entreprise d'IMT Atlantique (association loi 1901 à vocation pédagogique), n'est pas un prestataire qualifié PASSI. Ses études en cybersécurité sont réalisées par des étudiants ingénieurs d'IMT Atlantique, encadrés par la Junior : diagnostic organisationnel, revue de configuration, test d'intrusion sur un périmètre défini et autorisé par écrit, plan de correction et suivi. Le budget type part de 500 €, selon le périmètre. C'est adapté à une PME qui veut un premier état des lieux sans exigence réglementaire de qualification.

Avant de demander un devis, à qui que ce soit, réunissez trois éléments : la liste de ce que vous voulez faire auditer, la raison de l'audit (exigence d'un client, assurance, incident, projet) et la date à laquelle vous avez besoin du rapport. Ce sont les trois questions posées au premier échange.