Un audit informatique consiste à examiner méthodiquement le système d'information d'une entreprise afin d'en évaluer la sécurité, la performance, la disponibilité et l'organisation. Il ne se limite pas à rechercher des failles techniques. Il permet aussi de repérer les équipements obsolètes, les accès excessifs, les sauvegardes insuffisantes, les logiciels inutilisés et les dépendances critiques.
Pour une PME, l'intérêt est très concret : obtenir une photographie fiable de l'existant avant de décider quelles corrections, migrations ou dépenses doivent être engagées. Un audit utile ne se contente donc pas d'énumérer des problèmes. Il les classe selon leur niveau de risque, leur incidence sur l'activité et la difficulté de leur correction.
Quels sont les objectifs d'un audit informatique ?
Un audit informatique vérifie si le système d'information répond correctement aux besoins de l'entreprise. Il recherche les risques susceptibles d'affecter la confidentialité des données, la continuité de l'activité, les performances techniques ou la maîtrise des coûts, puis débouche sur des recommandations classées par ordre de priorité.
Le périmètre dépend de la demande formulée au départ. Un audit peut porter sur l'ensemble du système d'information ou sur un domaine précis : réseau, postes de travail, applications, sauvegardes, services cloud, gestion des comptes, sécurité physique ou organisation du support informatique.
Obtenir une vision exacte du système d'information
La première fonction de l'audit est de dresser un inventaire exploitable. Dans de nombreuses entreprises, la documentation ne reflète plus la réalité : certains logiciels ont été ajoutés sans validation, des comptes d'anciens salariés restent actifs ou des données sont stockées dans des services qui ne figurent dans aucune procédure interne.
L'auditeur cartographie les équipements, les applications, les flux de données et les dépendances entre les différents services. Cet état des lieux permet de comprendre quels éléments sont indispensables au fonctionnement de l'entreprise et lesquels représentent un risque inutile.
Repérer les vulnérabilités et les défauts de configuration
L'audit de sécurité recherche notamment les systèmes non mis à jour, les droits d'accès injustifiés, les mots de passe mal gérés, les services exposés sur Internet, les sauvegardes non testées et les configurations trop permissives. Il examine aussi les procédures humaines, car une protection technique peut être contournée lorsque les responsabilités sont mal définies.
Un audit ne garantit toutefois pas qu'aucun incident ne se produira. Il fournit une évaluation fondée sur un périmètre, une méthode et une période déterminés. Une modification de l'infrastructure ou l'apparition d'une nouvelle vulnérabilité peut changer le niveau de risque après la mission.
Améliorer les performances et maîtriser les coûts
Un système lent n'est pas nécessairement sous-dimensionné. Le problème peut venir d'une application mal configurée, d'un réseau saturé, d'un stockage vieillissant ou d'un processus qui sollicite inutilement les serveurs. L'audit aide à isoler la cause avant d'acheter de nouveaux équipements.
Il peut également révéler des licences en double, des abonnements inutilisés ou des outils accomplissant la même fonction. La correction de ces anomalies contribue à favoriser la productivité, tout en évitant des investissements décidés sans diagnostic préalable.
Quelles sont les étapes d'un audit informatique ?
Un audit informatique suit généralement cinq phases : cadrage, collecte des informations, contrôles techniques et organisationnels, analyse des risques, puis remise d'un rapport. Le contenu de chaque phase varie selon la taille de l'entreprise, la complexité du système et les objectifs définis avec la direction.
1. Définir le périmètre et les objectifs
Le cadrage précise les sites, équipements, applications, réseaux et processus concernés. Il fixe aussi les limites de la mission. Cette étape évite qu'un audit présenté comme global ne porte en réalité que sur quelques serveurs ou sur un simple scan automatisé.
Les interlocuteurs, les accès nécessaires, le calendrier et les règles de confidentialité sont identifiés avant les contrôles. Lorsque des tests potentiellement intrusifs sont prévus, leurs modalités et leur autorisation doivent être formalisées.
2. Collecter les documents et les données techniques
L'auditeur examine les inventaires, les schémas réseau, les contrats de maintenance, les politiques de sécurité, les procédures de sauvegarde et les comptes rendus d'incidents. Des entretiens avec la direction, le service informatique et les utilisateurs complètent ces documents.
La collecte peut aussi inclure les configurations, les versions logicielles, les droits d'accès et les journaux d'événements. Selon l'ANSSI, ces journaux constituent une source utile pour détecter et analyser certains incidents. Leur examen doit respecter le périmètre autorisé et les règles applicables aux données concernées.
3. Réaliser les contrôles
Les contrôles sont adaptés au type d'audit. Ils peuvent comprendre une analyse des configurations, une revue des comptes à privilèges, une vérification des sauvegardes, un examen de l'architecture réseau ou un scan de vulnérabilités.
Un test d'intrusion n'est pas automatiquement inclus. Cette prestation simule des techniques d'attaque dans un cadre défini afin de vérifier si certaines vulnérabilités peuvent être exploitées. Elle nécessite une autorisation explicite et des précautions particulières pour éviter une interruption de service.
4. Évaluer et classer les risques
Une anomalie ne doit pas être évaluée uniquement selon sa gravité technique. L'auditeur prend aussi en compte la probabilité d'exploitation, les données concernées, l'exposition du système et les conséquences possibles pour l'activité.
Un serveur vulnérable isolé dans un environnement de test ne présente pas le même risque qu'un équipement exposé sur Internet et utilisé pour traiter des données sensibles. Ce contexte permet de distinguer les corrections urgentes des améliorations pouvant être planifiées.
5. Remettre le rapport et le plan d'action
Le rapport décrit le périmètre, la méthode employée, les constats, les preuves recueillies et les limites de l'analyse. Chaque recommandation devrait mentionner sa priorité, la difficulté de mise en œuvre, les ressources nécessaires et le risque traité.
Une restitution orale aide la direction et les équipes techniques à comprendre les arbitrages. Le suivi peut ensuite prendre la forme d'un plan d'action attribuant un responsable et une échéance à chaque mesure. Sans ce suivi, le rapport risque de rester sans effet opérationnel.
Quels sont les différents types d'audits informatiques ?
Le terme « audit informatique » recouvre plusieurs prestations. Les distinguer permet de commander une mission cohérente avec le problème rencontré.
| Type d'audit | Éléments examinés | Quand le choisir ? |
|---|---|---|
| Audit d'architecture | Réseaux, segmentation, flux, serveurs, cloud et dépendances | Avant une refonte, une migration ou l'ouverture d'un nouveau site |
| Audit de configuration | Paramètres des systèmes, équipements réseau, annuaires et services | Pour rechercher des réglages dangereux ou incohérents |
| Audit organisationnel et physique | Procédures, responsabilités, accès aux locaux et gestion des incidents | Pour évaluer la gouvernance et les pratiques internes |
| Audit de code | Code source, dépendances, contrôles d'entrée et gestion des erreurs | Pour une application métier ou un service développé sur mesure |
| Test d'intrusion | Résistance d'un périmètre défini face à des scénarios d'attaque | Pour vérifier l'exploitabilité de vulnérabilités dans un cadre autorisé |
| Audit de performance | Temps de réponse, capacité, stockage, réseau et utilisation des ressources | En cas de lenteurs, d'instabilité ou avant une montée en charge |
L'ANSSI distingue notamment les audits d'architecture, de configuration, de code source, les tests d'intrusion ainsi que les audits organisationnels et physiques dans son référentiel applicable aux prestataires d'audit de sécurité.
Quels outils sont utilisés pendant l'audit ?
Les outils dépendent du périmètre et ne remplacent jamais l'analyse de l'auditeur. Un scanner peut signaler une version logicielle vulnérable, mais il ne détermine pas à lui seul l'incidence réelle sur l'activité.
- Les outils d'inventaire recensent les postes, serveurs, logiciels et équipements connectés.
- Les analyseurs de journaux rapprochent les événements provenant de plusieurs systèmes.
- Les scanners de vulnérabilités recherchent des versions, services ou configurations présentant un risque connu.
- Les outils d'analyse réseau examinent les flux, les protocoles et les communications entre équipements.
- Les plateformes de gestion d'audit centralisent les preuves, les constats et le suivi des recommandations.
Certains contrôles restent manuels. L'examen d'une procédure, la vérification d'un contrat ou l'entretien avec un responsable ne peuvent pas être remplacés par un logiciel. La qualité du résultat dépend surtout de la méthode, de la compétence de l'intervenant et de sa compréhension du contexte.
Pourquoi l'audit informatique est-il particulièrement utile aux PME ?
Une PME dispose rarement d'une équipe spécialisée pour chaque domaine du système d'information. Certaines tâches sont concentrées entre les mains d'une seule personne ou confiées à un prestataire externe. L'audit permet alors de documenter les dépendances et de vérifier que l'entreprise conserve la maîtrise de ses accès, de ses données et de ses sauvegardes.
Il apporte aussi une base objective pour hiérarchiser les dépenses. Une entreprise peut découvrir qu'elle doit traiter en priorité ses comptes administrateurs et ses sauvegardes plutôt que remplacer immédiatement tous ses ordinateurs. Le bénéfice ne vient donc pas de l'audit seul, mais de la pertinence des décisions prises à partir de ses constats.
L'audit peut être envisagé avant une migration, après un incident, lors d'un changement de prestataire, à la suite d'une croissance rapide ou lorsque la documentation n'est plus à jour. Sa fréquence ne doit pas être fixée arbitrairement : elle dépend des risques, des transformations du système et des exigences applicables à l'activité.
Comment choisir un prestataire et évaluer son rapport ?
Avant de signer, l'entreprise doit demander une proposition précisant le périmètre, la méthode, les livrables, les exclusions et les conditions d'intervention. La seule promesse de « trouver toutes les failles » n'est pas crédible, car aucun audit limité dans le temps ne peut garantir l'absence complète de vulnérabilités.
Le prestataire doit être en mesure d'expliquer ses compétences, ses références et ses règles de confidentialité. Pour certaines missions sensibles ou soumises à des exigences particulières, le recours à un prestataire qualifié peut être nécessaire ou préférable.
Un rapport exploitable ne contient pas seulement une liste de défauts. Il relie chaque constat à un risque, fournit des éléments de preuve compréhensibles et propose un plan de remédiation réaliste. La mesure la plus urgente n'est pas toujours la plus coûteuse : la suppression d'un compte inutilisé ou la correction d'un droit excessif peut parfois réduire rapidement une exposition importante.
