Audit de sécurité informatique : que doit-il couvrir ?

Un audit de sécurité n’est pas qu’un simple contrôle technique. Il s’agit d’un véritable diagnostic stratégique de votre environnement informatique. Il vise à répondre à une question clé : l’entreprise est-elle réellement protégée contre les menaces actuelles ? 

En partant d’un état des lieux précis, l’audit permet : 

• de repérer les failles potentielles (logicielles, matérielles ou humaines), 
• de prioriser les actions de sécurisation, 
• de mettre en conformité vos pratiques avec les obligations légales (RGPD, ISO 27001, etc.), 
• et d’outiller la direction dans sa prise de décision. 

1. Les fondations de l’audit : cartographier le SI

Avant toute chose, l’audit doit commencer par une cartographie complète du système d’information. Sans vision globale, difficile d’identifier les points faibles. 

Cette étape consiste à : 

• lister tous les équipements (serveurs, postes clients, routeurs, imprimantes connectées…)
• identifier les applications métiers utilisées et leurs interconnexions
• recenser les utilisateurs, les rôles et les droits d’accès associés
• et comprendre les flux de données internes et externes

Cela permet de visualiser les points d’entrée potentiels d’une attaque et les zones critiques à sécuriser en priorité. 

2. L’analyse des vulnérabilités techniques

Une fois la cartographie établie, l’audit peut s’attaquer au cœur du sujet : la recherche de failles techniques. Ce que cette phase couvre généralement :

• Systèmes d’exploitation et logiciels obsolètes (et donc vulnérables)
• Failles de configuration sur les pare-feux, routeurs, VPN
• Ports réseau ouverts inutilement
• Manque de segmentation réseau 
• Protocoles non chiffrés encore utilisés (FTP, HTTP…)
• Absence de correctifs de sécurité sur les applications métiers

Des outils d’analyse automatique (scanners de vulnérabilités) sont souvent utilisés, mais doivent être complétés par une analyse manuelle experte pour détecter les scénarios d’attaque réalistes. 

Demander une simulation de phishing

4. La gestion des accès et des privilèges

Un autre pilier de la sécurité informatique repose sur la gestion des droits d’accès. Trop souvent, les entreprises donnent des droits trop larges « par défaut », ce qui ouvre la porte à des attaques latérales une fois un poste compromis. L’audit doit donc vérifier que : 

• chaque collaborateur accède uniquement aux données nécessaires à sa mission (principe du moindre privilège)
• les accès aux applications sensibles sont protégés par une double authentification
• les comptes administrateurs sont sécurisés et tracés
• les comptes inactifs sont automatiquement désactivés

5. Les procédures de sauvegarde et de reprise

Que se passe-t-il si vous perdez vos données ? Si votre système est chiffré par un ransomware ? Un audit de sécurité doit impérativement examiner vos politiques de sauvegarde et de continuité d’activité. Les points à vérifier : 

• Sauvegardes régulières (et testées !) de toutes les données critiques
• Réplication sur un site distant ou dans le cloud
• Plan de reprise d’activité (PRA) en cas de crash majeur
• Scénarios de restauration validés techniquement

Trop d’entreprises découvrent que leur sauvegarde est inutilisable… au pire moment. 

6. La conformité réglementaire

Enfin, l’audit doit s’assurer que votre entreprise respecte les obligations légales et normatives en vigueur, notamment : 

• le RGPD (protection des données personnelles)
• la LPD suisse (nouvelle loi sur la protection des données)
• les exigences spécifiques de votre secteur (ex. : finance, santé, marché public)
• et les référentiels ISO (27001, 27005…)

Ce point est essentiel pour éviter les sanctions, mais aussi pour renforcer la confiance des partenaires et des clients. 

Un audit de sécurité ne se limite pas à un rapport technique. Il s’agit d’un véritable outil de pilotage stratégique, permettant à la direction de faire des choix éclairés et de bâtir un plan d’action réaliste. Il doit déboucher sur des recommandations concrètes, hiérarchisées selon : 

• le niveau de criticité des failles
• les impacts potentiels en cas d’exploitation
• et les coûts ou efforts nécessaires à leur correction

Répété chaque année, il devient un levier d’amélioration continue pour renforcer la résilience de votre entreprise face aux cybermenaces.