Un dirigeant d'une PME de 18 personnes m'a appelé un mardi matin parce que sa boîte de messagerie avait été mise à sac. Le pirate n'a pas demandé de rançon. Il s'est servi de la boîte d'une salariée, a envoyé des factures modifiées à trois clients, et a encaissé 12 400 € sur un compte à l'étranger. La société a mis six semaines à s'en remettre et a perdu le client le plus ancien. Ce qui m'a marqué : cette entreprise n'était pas « en retard » sur quoi que ce soit. Elle avait un antivirus, un pare-feu basique, des sauvegardes. Sauf que personne n'avait jamais passé son système informatique en revue, méthodiquement, pour chercher les trous. C'est exactement le rôle d'un audit cybersécurité dans une petite structure.
Points clés à retenir
- Un audit cybersécurité n'est pas un pentest : le premier cartographie les risques et les processus, le second attaque le système pour le casser.
- Pour une TPE/PME, comptez 1 500 à 4 000 € HT pour un audit externe sérieux d'un système de moins de 30 postes, moins si vous le faites en interne.
- Le premier livrable utile n'est pas un rapport de 80 pages, c'est un plan d'action priorisé sur 6 mois.
- Les référentiels ANSSI « Hygiène numérique » et le guide RGPD du CNIL suffisent pour cadrer 90 % des petites structures.
- Le point faible n'est presque jamais technique : c'est le facteur humain et les sauvegardes jamais testées.
Pourquoi un audit cybersécurité pour une petite structure se joue sur trois fronts
Quand j'ai commencé à accompagner des TPE sur ces sujets, je croyais naïvement que le problème serait le matériel obsolète. Surprise : la plupart des incidents que j'ai vus venir de trois choses, dans cet ordre de fréquence.
Le facteur humain, encore et toujours
Un compte de messagerie sans double authentification. Une pièce jointe ouverte par une assistante de direction pressée. Un stagiaire qui partage un dossier via un lien public. Je ne vais pas vous faire l'affront de vous expliquer ce qu'est le phishing. Ce que je peux vous dire, après plusieurs dizaines de diagnostics : la même personne se fait avoir deux fois si on ne corrige pas ses habitudes, et la bonne réponse n'est jamais de la sanctionner.
Les sauvegardes que personne n'a jamais essayées de restaurer
C'est mon cheval de bataille. Une sauvegarde non testée n'existe pas. J'ai vu des entreprises avec des « sauvegardes quotidiennes » qui ont découvert, le jour du sinistre, que le script copiait un dossier vide depuis huit mois. Huit mois. Le directeur informatique (une personne à mi-temps sur le sujet, en réalité) n'avait jamais vérifié. Un audit qui ne restaure pas au moins un fichier témoin n'a servi à rien.
L'absence de cartographie
Vous savez combien de comptes à privilèges existent dans votre système ? Qui a accès à quoi, qui a quitté l'entreprise mais garde encore son accès VPN ? Si la réponse est « je ne sais pas trop », c'est précisément ce qu'un audit va révéler. Le simple comptage des comptes orphelins est souvent le moment où le dirigeant blêmit.
Bref, l'audit n'est pas un luxe technologique. C'est le moment où l'on regarde en face ce qu'on a refusé de regarder parce qu'on n'a pas le temps. Et ce moment arrive généralement trop tard.
Quels sont les 4 types d'audit ?
Un audit, dans son sens le plus large, est une vérification structurée dont l'objectif est de contrôler, analyser et évaluer la conformité, la performance ou la fiabilité d'un domaine au sein d'une organisation. Le terme vient du latin audire, « entendre » : à l'origine, l'auditeur écoutait les déclarations pour juger de leur sincérité. Aujourd'hui, cette logique de vérification s'applique à des périmètres très différents, et l'on distingue couramment quatre grands types.
- L'audit financier : il porte sur la fiabilité des comptes et des rapports chiffrés. C'est le plus connu, souvent imposé par un cadre légal ou par un partenaire bancaire.
- L'audit opérationnel : il évalue l'efficacité des processus internes, la manière dont le travail est réellement effectué, indépendamment des chiffres.
- L'audit de gestion : il se penche sur la performance managériale, la stratégie et l'organisation globale de l'entreprise.
- L'audit de conformité : il vérifie le respect de règles, de normes ou d'obligations externes (réglementaires, contractuelles, internes).
Un audit peut être mené en interne, dans une logique de contrôle et d'amélioration continue, ou être imposé par une autorité externe. Dans tous les cas, l'objectif de fond reste le même : prendre du recul, identifier les points faibles et valoriser ce qui fonctionne déjà bien.
Pour la cybersécurité, on retrouve ces mêmes familles appliquées au système d'information. Ce qui compte pour une petite structure, c'est de ne pas confondre trois choses que l'on mélange en permanence : l'audit organisationnel, l'audit de conformité, et le test d'intrusion.
Audit organisationnel, audit de conformité, pentest : ce qui change vraiment
C'est la confusion qui coûte le plus cher. Un prestataire vous propose « un audit cybersécurité » et le prix passe du simple au décuple selon ce qu'il y a derrière.
| Type | Ce qu'on regarde | Quand c'est utile | Budget indicatif* |
|---|---|---|---|
| Audit organisationnel | Processus, habitudes, gestion des accès, plan de sauvegarde, sensibilisation | Diagnostic initial, structuration | 1 500 – 3 000 € HT |
| Audit de conformité | Écart avec RGPD, hygiène ANSSI, exigences d'un client | Appel d'offres, obligation contractuelle | 2 000 – 5 000 € HT |
| Audit de vulnérabilités | Scan automatisé des failles connues, correctifs manquants | État des lieux technique rapide | 600 – 1 500 € HT |
| Pentest | Attaque simulée, exploitation réelle des failles | Secteur sensible, données critiques | 3 000 – 10 000 € HT |
* Fourchettes observées sur des systèmes de moins de 30 postes. Les prix variaient énormément selon la région et la maturité du prestataire.
Mon avis, et je l'assume : pour 9 petites structures sur 10, un pentest est prématuré. On ne fait pas tester par effraction une porte dont la serrure n'est même pas posée. L'audit organisationnel d'abord, l'audit de conformité si un client l'exige, et le pentest seulement quand le socle tient.
Faut-il le faire en interne ou confier ça à un prestataire ?
Un audit interne coûte du temps, pas d'argent. Si vous avez en interne quelqu'un qui connaît vraiment le système et qui sait écrire un plan d'action, ça peut suffire pour une première passe. Le problème, c'est le conflit d'intérêt : celui qui a mal configuré le serveur ne va pas se dénoncer. Pour les sujets sensibles, l'œil extérieur est plus honnête. J'ai vu deux cas de figure où l'audit interne a été complaisant, et le rapport a servi de feuille de route à une attaque six mois plus tard, à peu de chose près.
Comment se déroule un audit, concrètement, quand on a 15 salariés
Le dirigeant en question — celui dont la boîte avait été siphonnée — m'a demandé ce qui allait se passer après. Voici la séquence que je recommande, et que j'ai vue bien fonctionner.
- Cadrage : quels actifs sont critiques (comptabilité, données clients, accès bancaire), qui gère quoi, quelles obligations s'appliquent.
- Collecte : inventaire des postes, des comptes, des sauvegardes, des contrats fournisseurs, des accès distants.
- Analyse : écart entre ce qui devrait être fait et ce qui l'est réellement. C'est ici que sortent les mauvaises surprises.
- Restitution : un rapport court, pas de jargon, avec une note globale et les risques classés.
- Plan d'action : ce qu'on corrige tout de suite, ce qui attend, ce qui coûte de l'argent.
Le point 5 est celui qui distingue un bon audit d'un rapport de consultation. Si personne ne vous dit par quoi commencer lundi matin, l'audit a échoué. Dans mon expérience, les premières actions corrigeables sans budget sont toujours les mêmes : activer la double authentification sur la messagerie, fermer les comptes inactifs, tester une restauration. Et là, surprise : ces trois gestes, à eux seuls, neutralisent une part énorme des attaques réelles.
Quels référentiels pour une TPE qui n'a pas d'équipe sécurité ?
On vous parlera de NIS2, d'ISO 27001, du RGPD. Pour une petite structure, sortez le cadre réglementaire de la peur : la plupart de ces textes ne s'appliquent qu'à des périmètres précis, et le RGPD, lui, concerne dès que vous traitez des données personnelles — ce qui est le cas de quasiment tout le monde.
Ce qui fonctionne réellement pour démarrer, c'est plus modeste :
- Le guide d'hygiène numérique de l'ANSSI : une liste de gestes de base, accessible, faite pour les non-spécialistes.
- Les guides RGPD du CNIL : pour comprendre ce que « conformité » veut dire dans votre cas sans paniquer.
- Un cadre interne minimal, écrit par vous, qui dit qui a accès à quoi et ce qu'on fait en cas d'incident.
Une PME de 25 personnes que j'ai suivie avait adopté ce cadre interne en une page recto. Une page. Elle a renoncé à tout le reste, et ça lui a suffi pour passer un questionnaire de sécurité client sans transpirer.
Les questions qu'on me pose tout le temps après un premier audit
Ça prend combien de temps ?
Pour une structure de moins de 30 postes, comptez deux à trois semaines entre le cadrage et la restitution, selon la disponibilité des personnes et la propreté de la documentation. La collecte est ce qui prend le plus longtemps, parce que personne n'a jamais tenu à jour l'inventaire des accès.
Combien ça coûte réellement ?
Le tableau ci-dessus donne des fourchettes, mais le prix dépend surtout de ce que vous demandez. Un audit organisationnel de deux jours, c'est 1 500 à 3 000 € HT. Si un prestataire vous annonce 200 € pour « un audit complet », fuyez : c'est un scan automatique déguisé, qui ne vous dira rien sur vos processus ni sur vos vraies failles. À l'inverse, au-delà de 10 000 € pour une structure de cette taille sans données ultra-sensibles, vous payez probablement du luxe inutile.
Que faire du rapport une fois qu'on l'a ?
Ne le rangez pas dans un tiroir. C'est l'erreur la plus banale et la plus coûteuse. Fixez-vous une révision du plan d'action tous les six mois, avec un responsable nommé et une date. Sans cette discipline, l'audit se périme en un an et vous recommencerez à zéro.
Il reste une chose que les rapports ne disent jamais. La vraie ligne de défense d'une petite structure, ce n'est pas son pare-feu, ce n'est pas son prestataire. C'est le niveau de paranoïa saine d'une équipe qui a compris que le prochain incident ne viendra pas d'un génie informatique, mais d'un mail un peu trop convaincant un vendredi après-midi.
