Comment réaliser un audit de sécurité informatique ?
.png)
DPO Consulting Rejoint Grant Thornton
Sommaire
Un audit de sécurité informatique est une évaluation méthodique des mesures qui protègent un système d'information, menée pour mesurer l'écart entre la sécurité réelle et le niveau attendu. Il combine des contrôles techniques, l'examen des processus et la revue de la documentation.
La raison pour laquelle les entreprises en commandent un a changé. Il y a dix ans, l'audit servait surtout à rassurer une direction générale. Aujourd'hui il est demandé par un assureur, par un client grand compte dans un questionnaire fournisseur, par un régulateur au titre de NIS2 ou de DORA, ou par le RGPD qui impose de tester régulièrement l'efficacité des mesures de sécurité.
Un audit de sécurité informatique est un examen structuré, mené sur un périmètre défini, qui vérifie si les mesures de protection en place couvrent réellement les risques auxquels l'organisation est exposée. Il produit un constat daté, documenté et opposable, pas une impression générale.
Trois éléments le distinguent d'un simple scan de vulnérabilités. Il porte sur un périmètre contractualisé, il s'appuie sur un référentiel de comparaison, et il se conclut par des recommandations priorisées. Un scan dit ce qui est ouvert, un audit dit ce qui est grave et dans quel ordre le traiter.
Pour le RGPD, l'article 32 impose au responsable de traitement une procédure visant à tester, analyser et évaluer régulièrement l'efficacité des mesures techniques et organisationnelles. L'audit est le moyen le plus direct de produire cette preuve.
L'intérêt d'un audit tient à ce qu'il révèle ce que personne ne regarde plus. Les systèmes dérivent, les comptes d'anciens salariés restent actifs, les correctifs s'accumulent, une règle de pare-feu ouverte pour un projet de 2021 n'a jamais été refermée. Quatre motifs reviennent systématiquement.
Un audit en sécurité informatique bien mené sert aussi en interne, en transformant un budget sécurité discuté chaque année en une liste de risques chiffrés que la direction peut arbitrer.
Les audits de sécurité ne sont pas interchangeables. Chaque type répond à une question différente et mobilise des compétences distinctes. En France, le référentiel PASSI de l'ANSSI structure la qualification des prestataires autour de cinq activités, audit d'architecture, audit de configuration, audit de code source, tests d'intrusion, audit organisationnel et physique. L'ANSSI a publié la version 2.2 de ce référentiel le 29 novembre 2024, qui introduit deux niveaux de qualification, substantiel et élevé. Le tableau ci-dessous reprend les types les plus demandés et ce qu'ils apportent.
L'audit réseau examine la segmentation, les règles de filtrage, les accès distants et l'exposition sur internet. Il révèle le plus souvent des règles de pare-feu permissives devenues inutiles, des services administratifs accessibles depuis l'extérieur et une segmentation plate qui laisse un attaquant circuler librement après une première compromission.
L'audit applicatif porte sur les applications métiers, les API et le code. Il combine revue de code source et tests d'intrusion applicatifs, et cible les injections, les défauts d'authentification, les erreurs de gestion de session et les expositions de données. Pour une entreprise qui édite son propre logiciel, c'est l'audit qui a le meilleur rapport entre effort et risque évité.
L'audit cloud vérifie les configurations des environnements hébergés, la gestion des identités et des droits, le chiffrement et la journalisation. La majorité des incidents cloud viennent de mauvaises configurations, pas de failles du fournisseur. La frontière des responsabilités entre le client et le prestataire doit être contrôlée explicitement.
L'audit de sécurité de l'information est plus large que l'audit technique. Il couvre la gouvernance, la classification des données, les politiques, la sensibilisation et la gestion des tiers, en s'appuyant généralement sur ISO/IEC 27001. Il mesure la maturité, là où les autres mesurent l'exposition.
L'audit de conformité compare les pratiques à une exigence externe précise, un règlement, un référentiel ou un contrat client. Il ne cherche pas toutes les faiblesses, il vérifie des points imposés. Notre guide sur l'audit de conformité en matière de cybersécurité détaille la méthode et les écarts les plus fréquents.
L'audit d'infrastructure couvre les serveurs, les postes de travail, les sauvegardes, la supervision et les accès physiques aux salles techniques. Il croise souvent l'audit d'architecture au sens PASSI, et c'est lui qui révèle les systèmes en fin de support maintenus en production faute de budget de migration.
Comment faire un audit de sécurité informatique tient en cinq étapes, du cadrage au plan d'action. La séquence compte autant que le contenu, car un audit mal cadré produit un rapport illisible et des recommandations que personne n'applique. Les cinq étapes ci-dessous sont celles que suivent les prestataires qualifiés.
Le cadrage fixe les systèmes concernés, les types de tests autorisés, les fenêtres d'intervention et les interlocuteurs. Un périmètre trop large dilue l'effort, un périmètre trop étroit laisse l'angle mort intact. C'est aussi à ce stade que se décide le référentiel de comparaison, sans lequel les constats restent des opinions.
L'inventaire précède tout. Il recense les actifs, les données traitées, les flux et les dépendances aux prestataires, puis les classe par criticité métier. On ne protège pas ce qu'on ne connaît pas, et l'inventaire incomplet reste le premier constat d'audit en volume. Notre guide d'évaluation des risques de cybersécurité décrit la méthode de cotation.
Cette phase confronte les mesures déclarées aux mesures réellement en place. L'auditeur examine les configurations, les droits d'accès, les politiques appliquées et les journaux. L'écart entre la politique écrite et la configuration réelle est presque toujours le cœur du rapport.
Les tests apportent la preuve. Tests d'intrusion externes et internes, tentatives d'élévation de privilèges, vérification des restaurations de sauvegarde, simulation d'un scénario d'attaque. Une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une hypothèse.
Le rapport classe chaque constat par niveau de risque, décrit la preuve associée et propose une correction réaliste avec un responsable et une échéance. Un plan de remédiation priorisé, suivi d'un contre-audit sur les points critiques, est ce qui transforme l'exercice en amélioration mesurable.
Les contrôles portent sur six domaines, quelle que soit la taille de l'organisation. La profondeur varie, pas la liste. Un questionnaire d'audit de sécurité informatique sérieux couvre la gouvernance, les identités, les systèmes, les données, la détection et les tiers, puis demande une preuve pour chaque réponse.
Un audit sans référentiel produit des constats contestables. Quatre cadres dominent la pratique, et ils ne servent pas le même objectif. ISO/IEC 27001 structure un système de management, le NIST organise la vision par fonctions, les contrôles CIS donnent une liste d'actions concrètes, SOC 2 répond à une demande client.
ISO/IEC 27001, dans sa version 2022, définit les exigences d'un système de management de la sécurité de l'information, avec un ensemble de mesures en annexe A. C'est le seul des quatre qui mène à une certification d'organisme par un tiers accrédité, ce qui en fait la référence quand un client exige une preuve externe. Notre analyse ISO 27001, NIS2 et DORA explique comment articuler les trois sans dupliquer le travail.
Le cadre de cybersécurité du NIST, publié en version 2.0 en février 2024, organise la sécurité autour de six fonctions, gouverner, identifier, protéger, détecter, répondre et rétablir. La fonction gouverner est la nouveauté de la version 2.0. Le cadre ne certifie rien, il sert de grille de lecture pour situer une maturité et prioriser.
Les contrôles CIS proposent 18 ensembles de mesures classés par groupes de mise en œuvre, du plus accessible au plus exigeant. C'est le référentiel le plus opérationnel des quatre pour une PME ou une ETI, parce qu'il indique par quoi commencer plutôt que ce qu'il faudrait atteindre.
SOC 2 repose sur les critères de services de confiance de l'AICPA, dont le critère sécurité est le seul obligatoire. Le rapport de type II évalue le fonctionnement des contrôles sur une période, généralement de six à douze mois, là où le type I ne décrit qu'une situation à une date donnée. C'est la demande standard des acheteurs nord-américains.
La checklist ci-dessous couvre les cinq domaines les plus souvent évalués, avec pour chacun les points à contrôler et la preuve attendue. Elle sert à préparer un audit en interne avant l'arrivée d'un prestataire, ce qui réduit mécaniquement le nombre de constats.
L'inventaire doit être exhaustif et tenu à jour, y compris les actifs cloud, les terminaux mobiles et les logiciels installés hors du catalogue officiel. Les équipements oubliés et les applications non référencées sont les premiers points d'entrée exploités.
L'audit vérifie l'existence d'une revue périodique des droits, la désactivation effective des comptes au départ des salariés, l'authentification multifacteur sur les accès distants et la gestion séparée des comptes à privilèges. Les comptes dormants restent le constat le plus fréquent en volume.
Les systèmes doivent être durcis selon un standard documenté et les correctifs appliqués selon des délais définis par niveau de criticité. L'audit regarde les délais réellement tenus, pas la politique affichée, et identifie les systèmes en fin de support.
Les contrôles portent sur la classification des données, le chiffrement au repos et en transit, la gestion des clés et les durées de conservation. Pour les données personnelles, cette partie recoupe directement les obligations du RGPD et alimente le registre des traitements.
L'organisation doit disposer d'une procédure d'incident testée, de sauvegardes isolées et de restaurations vérifiées, avec des objectifs de reprise définis. Notre guide sur la réponse aux incidents de cybersécurité détaille les éléments attendus par les auditeurs comme par les assureurs.
Savoir comment faire un audit de sécurité informatique ne sert à rien si l'organisation n'est pas prête à le recevoir. La préparation détermine la qualité du résultat. Une organisation qui arrive sans inventaire ni documentation fait perdre à l'auditeur un temps qu'elle paie. Quatre actions suffisent à transformer l'exercice.
Une politique de cybersécurité écrite et appliquée fait gagner un temps considérable, parce qu'elle fournit le référentiel interne auquel l'auditeur confrontera la réalité.
DPO Consulting accompagne des organisations européennes et internationales sur la conformité et la cybersécurité depuis plus de dix ans, avec plus de 50 experts internes. L'accompagnement couvre le cadrage du périmètre, l'audit lui-même, la priorisation des correctifs et le suivi de la remédiation, avec une attention particulière aux recoupements entre sécurité et RGPD.
Faire réaliser un audit de sécurité informatique par un tiers reste le moyen le plus rapide de sortir des angles morts internes. Pour évaluer votre exposition et bâtir un plan de remédiation réaliste, commencez par un audit de cybersécurité. Si la fonction sécurité manque en interne, un RSSI externalisé prend en charge le pilotage dans la durée. Vous pouvez aussi échanger avec un expert DPO Consulting pour cadrer le périmètre avant de lancer une consultation.
Quatre constats reviennent dans la grande majorité des rapports, les comptes inactifs non désactivés, l'absence d'authentification multifacteur sur certains accès distants, les correctifs critiques appliqués hors délai et les sauvegardes jamais testées en restauration. Aucun n'est technique au sens difficile, tous relèvent du suivi.
La pratique courante combine un audit complet annuel, des tests d'intrusion sur les systèmes exposés au moins une fois par an, et un audit ponctuel après tout changement majeur d'architecture ou incident significatif. Les exigences contractuelles ou sectorielles peuvent imposer un rythme plus soutenu.
Le coût dépend du périmètre, du nombre de systèmes, du type de tests et du niveau de qualification exigé du prestataire. Il se construit en jours-auditeur, pas en forfait. Un audit organisationnel sur un périmètre limité et un test d'intrusion applicatif complet n'ont aucun rapport en charge. Demandez systématiquement un chiffrage détaillé par phase plutôt qu'un prix global.
Vérifiez la qualification, le périmètre réellement couvert et la qualité du livrable. En France, la qualification PASSI délivrée sous l'autorité de l'ANSSI atteste de la conformité du prestataire à un référentiel d'exigences sur cinq activités d'audit. Demandez un exemple de rapport anonymisé avant de signer, c'est le meilleur indicateur de ce que vous recevrez.
Un audit en sécurité informatique comprend une phase de cadrage, une collecte d'informations, des contrôles techniques et organisationnels, des tests, puis un rapport assorti de recommandations priorisées. La restitution auprès des équipes techniques et de la direction fait partie du livrable, sans elle le rapport reste lettre morte.
La durée nécessaire pour réaliser un audit de sécurité informatique dépend entièrement du périmètre. Un audit organisationnel sur une structure de taille moyenne se compte en jours, un audit technique complet avec tests d'intrusion sur plusieurs applications se compte en semaines. Prévoyez en plus un délai de restitution et un temps de remédiation nettement supérieur à celui de l'audit.
Oui, et c'est souvent le cas. Les durées de conservation dépassées, les accès trop larges aux données personnelles, l'absence de chiffrement sur des bases sensibles et les transferts vers des prestataires non encadrés apparaissent dans les constats techniques. Ces écarts relèvent ensuite du RGPD, ce qui justifie de coupler l'audit technique à un audit de conformité RGPD.
.png)
.svg)
.png)
.png)
