Audit sécurité informatique : la checklist complète (étapes clés et contrôles essentiels)
.png)
DPO Consulting Rejoint Grant Thornton
Une checklist d'audit de sécurité informatique est une liste structurée des contrôles, documents et preuves qu'un auditeur examine pour confirmer qu'une organisation protège ses systèmes d'information comme prévu. Chaque ligne nomme un contrôle (par exemple l'authentification multifacteur sur les comptes administrateurs), la preuve de son fonctionnement (un rapport d'accès) et la norme ou la réglementation qu'il satisfait. Ce qui distingue une checklist d'audit sécurité informatique d'une simple liste IT tient en un point : chaque élément est rattaché à un risque ou à une obligation, ce qui rend le résultat défendable devant un régulateur, un client ou un conseil d'administration.
Il existe plusieurs niveaux de détail. Une checklist destinée à la direction résume dix à quinze domaines de contrôle. Une version opérationnelle, comme celle de cet article, compte des dizaines de vérifications regroupées par domaine. Une version par référentiel reprend le jeu de contrôles d'ISO 27001, des CIS Controls ou de SOC 2 et rattache vos preuves à chaque numéro de contrôle.
Une checklist d'audit de sécurité informatique est importante parce qu'elle transforme un objectif vague (« être sécurisé ») en un ensemble fini de questions vérifiables. Quatre bénéfices concrets en découlent : l'audit devient répétable d'une année sur l'autre, les failles apparaissent avant qu'un attaquant ou un régulateur ne les trouve, le dossier de preuves exigé par le RGPD (article 32), NIS2 et DORA se constitue au fil de l'eau, et la direction dispose d'une vue des priorités classées par risque. Sans checklist, l'audit dépend de la personne qui le mène et ses résultats ne sont pas comparables dans le temps.
L'enjeu de conformité est concret. Au titre du RGPD, un défaut de sécurité entraînant une violation de données personnelles peut être sanctionné jusqu'à 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros, le montant le plus élevé étant retenu (article 83, paragraphe 5). DORA s'applique aux entités financières de l'UE depuis le 17 janvier 2025, et NIS2 impose aux entités essentielles et importantes de démontrer leurs mesures de gestion des risques aux autorités nationales. Une checklist d'audit sécurité informatique est le moyen le plus rapide de prouver que ces mesures existent et fonctionnent.
Avant de passer aux vérifications techniques, prenez le temps de préparer l'audit. Une bonne préparation fait gagner du temps et de la précision par la suite. Cette phase comprend la définition du périmètre, la collecte de la documentation et la constitution de l'équipe d'audit.
Commencez par déterminer précisément ce qui sera audité et pourquoi. Identifiez les systèmes, réseaux, données et applications concernés : serveurs de production, environnements cloud, objets connectés, bases de données clients. Repérez les cadres réglementaires applicables : RGPD (données personnelles de l'UE), PDPA (Singapour), HIPAA (santé aux États-Unis), PCI-DSS (données de paiement) et normes sectorielles comme l'ISO 27001. Documentez clairement les objectifs (par exemple « démontrer la conformité RGPD des données clients ») et les critères d'évaluation.
Collectez ensuite toutes les informations et preuves utiles pour que les auditeurs comprennent l'environnement. Les documents clés sont :
La démarche de DPO Consulting prévoit explicitement la collecte des politiques et procédures de sécurité en vigueur, ainsi que des informations sur le matériel, les logiciels et les prestataires tiers. Disposer de ces documents dès le départ permet aux auditeurs de vérifier les contrôles immédiatement plutôt que de chercher des preuves plus tard.
Formez enfin l'équipe d'audit et impliquez les parties prenantes clés. Identifiez qui pilotera l'audit (souvent le RSSI, un responsable sécurité ou un consultant externe) et qui y participera. Les rôles habituels sont :
Quatre référentiels structurent la plupart des checklists d'audit cybersécurité : ISO/IEC 27001, le NIST Cybersecurity Framework, les CIS Critical Security Controls et SOC 2. Ils se recoupent largement ; l'approche efficace consiste à en choisir un comme colonne vertébrale de la checklist et à y rattacher les autres. Le tableau ci-dessous résume l'usage de chacun et qui le demande.
Sources : publications ISO, NIST, Center for Internet Security et AICPA listées en références, vérifiées le 18 septembre 2026.
ISO/IEC 27001 est la norme internationale des systèmes de management de la sécurité de l'information et la seule des quatre qui aboutit à un certificat. La révision 2022 a réorganisé l'annexe A en 93 mesures réparties en quatre thèmes (organisationnel, humain, physique, technologique). Une checklist d'audit ISO 27001 comporte donc deux volets : les clauses 4 à 10 du système de management (contexte, leadership, appréciation des risques, évaluation des performances) et la déclaration d'applicabilité qui justifie les mesures retenues. Les auditeurs lisent cette déclaration en premier ; gardez-la à jour. Notre guide sur le coût de la certification ISO 27001 détaille le cycle de certification.
Le NIST Cybersecurity Framework 2.0, publié par le National Institute of Standards and Technology américain en février 2024, organise les résultats attendus en six fonctions : Gouverner, Identifier, Protéger, Détecter, Répondre et Rétablir. Il ne prescrit pas de mesures, ce qui en fait une bonne structure de restitution pour un audit de sécurité informatique : chaque constat est rattaché à une fonction et à une catégorie, et le rapport se lit clairement au niveau de la direction. La fonction Gouverner, nouvelle dans la version 2.0, couvre la stratégie, les rôles, les politiques et le risque fournisseurs, et correspond directement aux sections politiques et tiers de cette checklist.
Les CIS Critical Security Controls sont le plus prescriptif des quatre référentiels. La version 8.1, publiée par le Center for Internet Security en juin 2024, compte 18 contrôles déclinés en 153 mesures et répartis en trois groupes d'implémentation. Le groupe IG1 est le socle minimal de 56 mesures pour les petites structures, IG2 ajoute des mesures pour les organisations dotées d'une équipe sécurité, IG3 couvre l'ensemble. Pour construire une checklist d'audit à partir de zéro, IG1 est un point de départ défendable, et le CIS publie des correspondances vers NIST CSF 2.0 et ISO 27001:2022 pour réutiliser le travail.
SOC 2 n'est pas une norme certifiante mais un rapport d'attestation émis par un cabinet d'expertise comptable agréé, selon les Trust Services Criteria de l'AICPA (critères de 2017, points d'attention révisés en 2022). La catégorie Sécurité est obligatoire ; Disponibilité, Intégrité des traitements, Confidentialité et Vie privée s'ajoutent selon les engagements pris envers les clients. Un rapport de type I porte sur la conception des contrôles à une date donnée ; un rapport de type II sur leur efficacité dans le temps, généralement six à douze mois. Si vos clients sont des acheteurs SaaS nord-américains, votre checklist doit porter les références SOC 2 pour réutiliser les preuves de l'audit interne lors de l'attestation.
Pour les organisations européennes, deux textes s'ajoutent à ces référentiels : NIS2 pour les entités essentielles et importantes, et DORA pour le secteur financier. Aucun des deux n'impose de catalogue de mesures ; ils s'auditent en pratique via ISO 27001 ou NIST CSF. Notre article ISO 27001, NIS2 et DORA explique comment mener un seul programme qui satisfait les trois, et notre guide ReCyF et NIS2 détaille la feuille de route côté France.
Une checklist d'audit sécurité informatique complète couvre plusieurs domaines, du volet réseau (audit sécurité réseau) au volet organisationnel (audit SSI au sens de la PSSI). Voici les principaux, avec des exemples de contrôles à vérifier. Ensemble, ils forment un référentiel de contrôles qui couvre toutes les couches de votre défense. Les auditeurs passent chacun de ces domaines en revue de manière systématique.
Vérifiez que la politique de mots de passe (complexité, renouvellement) et les contrôles de session (expiration, verrouillage après échecs) respectent les bonnes pratiques. Tout écart (comptes inactifs, MFA absente) doit ressortir dans la checklist.
L'audit vérifie aussi bien les défenses périmétriques que les protections internes. Les preuves incluent les exports de configuration de pare-feu, les journaux d'alertes IDS, les schémas de segmentation et les rapports d'analyse de vulnérabilités annotés. Ces quatre points constituent le cœur de tout audit sécurité réseau ; une évaluation approfondie ajoute des tests actifs, comme des scans authentifiés et une revue des règles de pare-feu par rapport à une configuration de référence.
Les tiers traitent souvent des informations sensibles ; sans supervision adéquate, ces données peuvent être exposées à des accès non autorisés ou à des violations. La checklist signale comme écarts les revues fournisseurs manquantes et les clauses contractuelles faibles.
La culture sécurité est déterminante. Les auditeurs interrogent souvent le personnel pour vérifier la compréhension des politiques. Tout écart (politique obsolète, absence de traces de formation) est noté.
Quelle que soit la solidité des contrôles numériques, une intrusion physique peut les contourner. L'audit relève toute faiblesse, comme une baie non verrouillée ou une alarme hors service.
Une fois les domaines clés couverts, l'audit passe à l'analyse des risques et des écarts : identifier les vulnérabilités résiduelles, évaluer l'efficacité des contrôles et prioriser les corrections. Pour situer le résultat sur une échelle de maturité plutôt que sur une liste de conformités, complétez l'audit par un audit de cybersécurité mené sur un référentiel de maturité.
Combinez tests manuels et automatisés : analyses de vulnérabilités, revues de configuration et, si possible, tests d'intrusion sur les systèmes et réseaux. Interrogez le personnel et examinez les journaux pour repérer les failles de procédure. Les auditeurs associent ensuite chaque vulnérabilité à des menaces (malware, phishing, menace interne, erreur de configuration) et à des impacts (perte de données, interruption de service). Par exemple, un serveur critique non corrigé se voit attribuer un niveau de risque élevé.
Pour chaque contrôle de la checklist, vérifiez qu'il est non seulement documenté mais réellement en place et efficace. Si une règle de pare-feu doit bloquer un flux, l'auditeur la teste ou consulte les journaux pour confirmer qu'elle est active. Réunissez une preuve par contrôle : capture de configuration, résultat d'analyse ou journal.
Une fois vulnérabilités et écarts identifiés, classez-les par gravité et impact métier sur une échelle simple (critique, élevé, moyen, faible) fondée sur la probabilité et les conséquences. Associez les responsables métier pour aligner les priorités sur l'appétence au risque. Documentez un plan de remédiation : un propriétaire par constat, une échéance et une méthode de vérification. Traitez d'abord les corrections critiques qui protègent les actifs sensibles ou les obligations de conformité (par exemple un correctif pour une faille exploitée), puis les niveaux moyen et faible. L'objectif est une feuille de route claire : quoi corriger, par qui, pour quand.
Les livrables finaux de l'audit sont le rapport et le plan de remédiation. Les deux reposent sur une communication claire : un constat que personne ne comprend ne sera pas corrigé.
Le rapport doit être structuré et facile à lire. Les sections habituelles sont :
Des tableaux ou graphiques (carte de chaleur des vulnérabilités, par exemple) aident la direction à saisir d'un coup d'œil les points critiques. Un rapport bien organisé permet aux parties prenantes de voir les risques et de décider en connaissance de cause.
Accompagnez le rapport d'une feuille de route de remédiation, souvent un tableau ou une liste de tickets indiquant pour chaque écart le propriétaire, les actions et la date cible. Suivez l'avancement dans un outil de gestion de projet ou un tableur et revoyez le plan en réunion à intervalles réguliers. Ne clôturez un constat qu'une fois la correction vérifiée (voir section suivante). Un suivi rigoureux évite que des écarts passent entre les mailles du filet. Remontez l'avancement et les besoins de ressources à la direction.
Un audit ne s'arrête pas à l'attribution des corrections. Planifiez des revues de suivi pour valider la remédiation : relancez les analyses, revérifiez les configurations, exigez des preuves (captures, journaux) que les écarts sont résolus et documentez la clôture de chaque constat. Mettez à jour la checklist avec les améliorations apportées (nouveaux contrôles, politiques révisées). Planifiez enfin l'audit suivant, souvent annuel : la cybersécurité évolue vite et la validation continue des contrôles est indispensable.
Une checklist d'évaluation de la sécurité de l'information couvre la couche de gouvernance et de résilience qui coiffe les contrôles techniques précédents. Là où la checklist de base demande « le pare-feu est-il configuré », cette couche demande « qui a décidé la politique de pare-feu, connaît-on tous les actifs qu'il protège, remarquerait-on sa défaillance, et l'activité pourrait-elle continuer si c'était le cas ». Les quatre domaines ci-dessous complètent le tableau et correspondent aux fonctions Gouverner, Identifier, Détecter et Rétablir du NIST CSF 2.0.
Une gouvernance faible est le constat qui fragilise le plus souvent des contrôles techniques par ailleurs corrects. Les organisations sans responsable sécurité peuvent s'appuyer sur un RSSI externalisé pour porter cette couche.
Ce que cela signifie pour vous : si votre dernier audit s'est limité aux domaines techniques, ajoutez ces quatre sections avant le prochain. C'est là que les auditeurs NIS2 et DORA passent le plus de temps, et ce sont les sections qu'une checklist générée depuis un export d'outil oublie le plus souvent.
Une checklist d'audit sécurité informatique est un document vivant. Revoyez-la régulièrement, au moins une fois par an ou à chaque changement technologique ou réglementaire majeur. Ajoutez des points de contrôle quand la réglementation évolue ou que l'organisation adopte de nouveaux systèmes (services cloud, objets connectés, outils d'IA générative). Après chaque audit, intégrez les enseignements : si un écart revient systématiquement, détaillez les contrôles correspondants.
L'automatisation aide à maintenir la checklist. Des plateformes de conformité ou des scripts peuvent semi-automatiser certaines vérifications (règles de pare-feu, niveaux de correctifs, politique de mots de passe). Un SIEM ou une solution de supervision continue fournit des alertes en temps réel sur une partie des points, ce qui réduit l'effort manuel.
DPO Consulting propose un audit de cybersécurité de bout en bout, construit sur ces bonnes pratiques :
Demandez un devis d'audit de cybersécurité : nous calibrons la checklist sur vos systèmes et vos réglementations en un seul échange.
La bonne pratique est au moins une fois par an. Le secteur, la taille et le profil de risque comptent toutefois : les secteurs très régulés ou les organisations dont les systèmes changent vite auditent plus souvent, tous les six mois ou chaque trimestre.
Un audit est une évaluation large et structurée des contrôles, des processus et de la conformité, couvrant les personnes, les politiques et la technologie : entretiens, revue documentaire, vérification des politiques et tests techniques. Une analyse de vulnérabilités (ou un test d'intrusion) est une évaluation technique outillée qui identifie des faiblesses logicielles ou réseau connues.
En principe, oui. Les contrôles fondamentaux (gestion des accès, correctifs, sauvegardes) sont les mêmes, mais une petite entreprise adapte le périmètre et la profondeur. Avec moins de systèmes et un réseau plus simple, certains points sont allégés : une start-up avec un seul serveur n'a pas les mêmes enjeux de segmentation qu'un groupe qui en compte des centaines. L'audit se concentre sur les zones de risque de l'entreprise ; les contrôles clés (MFA, protection des terminaux, plan d'incident) s'appliquent à toute taille. Le groupe d'implémentation IG1 des CIS Controls est un socle publié adapté aux petites structures.
Partez des réglementations qui s'appliquent à vos données et à votre secteur (RGPD pour les données personnelles européennes, HIPAA pour la santé, PCI-DSS pour le paiement). Ajoutez ensuite des normes reconnues comme ISO/IEC 27001, le NIST Cybersecurity Framework ou des référentiels sectoriels, qui fournissent des jeux de contrôles structurés.
Les auditeurs ont besoin d'une preuve de mise en œuvre pour chaque contrôle : captures ou exports de configuration (règles de pare-feu, listes d'accès), journaux d'événements ou de changements, rapports (dernière analyse de vulnérabilités, état des correctifs) et documents de politique. Pour prouver un processus de correctifs automatique, montrez par exemple un rapport de console avec l'historique récent ; pour la journalisation, fournissez des fichiers de journaux ou des entrées SIEM.
Une checklist d'audit cybersécurité contient le périmètre et les objectifs, la documentation à réunir, des points de contrôle sur huit domaines techniques (accès, réseau, protection des données, terminaux, réponse aux incidents, tiers, politiques et formation, sécurité physique), puis la gouvernance, la gestion des actifs, la supervision et la continuité d'activité. Chaque point précise la preuve à collecter et la norme ou la réglementation à laquelle il répond.
Un audit de cybersécurité vérifie que des contrôles définis existent et fonctionnent comme prévu, au regard d'une norme ou d'une réglementation, et produit des constats étayés par des preuves. Une évaluation de sécurité est plus large et plus exploratoire : elle mesure le niveau de risque global, souvent via un modèle de maturité ou une analyse de risques, et recommande où investir. L'audit produit des constats conformes ou non conformes ; l'évaluation produit un score et une feuille de route.
Un audit ciblé d'une PME ou d'une ETI prend en général deux à quatre semaines du cadrage au rapport, dont une semaine de collecte de preuves et d'entretiens. Les audits multi-sites, les grands groupes ou les audits préparant une certification ISO 27001 durent le plus souvent six à douze semaines. La qualité de la préparation est la principale variable : les organisations qui disposent d'un inventaire d'actifs et d'un corpus de politiques à jour terminent le plus vite.
Un audit interne peut être mené par le RSSI ou l'équipe sécurité, à condition de ne pas auditer les contrôles dont ils sont eux-mêmes propriétaires. Un audit destiné à servir de preuve auprès de clients ou d'autorités doit être réalisé par un tiers indépendant : un cabinet de conseil, un organisme certificateur pour ISO 27001, ou un cabinet d'expertise comptable agréé pour SOC 2. Beaucoup d'organisations alternent chaque année un audit SSI interne et un audit externe.
.png)
.svg)
