Audit informatique pour une PME : ce que ça couvre, ce que ça coûte, par
où commencer

Le déclencheur est presque toujours le même : un client important qui joint son questionnaire de sécurité au renouvellement du contrat, trente lignes à cocher. Politique de sauvegarde, traçabilité des accès, tests d'intrusion réguliers. Dans une PME de quarante personnes sans RSSI, ces cases soulèvent une question plus gênante que celles du formulaire, et qui n'y figure même pas : est-ce qu'on est protégés, oui ou non ? Personne dans la boîte ne sait vraiment répondre. C'est là que le mot « audit » entre dans les conversations.

Reste à savoir ce que ce mot recouvre. Un audit informatique pour une PME désigne au moins trois prestations différentes qu'on vend sous la même étiquette, avec des prix et des livrables sans commune mesure. Pour un dirigeant ou un responsable informatique sans équipe sécurité dédiée, la première compétence utile, c'est de savoir lequel des trois on lui propose.

Ce que couvre un audit informatique pour une PME

Un audit cybersécurité pour une PME est un état des lieux qui regarde à la fois votre organisation, vos systèmes internes et ce que vous exposez sur Internet. Beaucoup l'imaginent limité à un scan du site web ; en pratique un audit sérieux passe en revue plusieurs domaines, plus ou moins profondément selon le budget et le mandat :

• L'inventaire des actifs et l'exposition externe : quels serveurs, domaines, applications et services sont réellement en ligne. Beaucoup de PME découvrent à cette étape un sous-domaine oublié, un vieux serveur de préproduction resté ouvert, ou une interface d'admin exposée. On ne protège pas ce qu'on ne sait pas posséder.
• La revue des configurations et des mises à jour : versions de logiciels obsolètes, correctifs de sécurité en retard, services mal configurés, mots de passe par défaut jamais changés. C'est le terrain de jeu numéro un des attaques automatisées.
• La gestion des accès : qui a accès à quoi, avec quels droits, et depuis combien de temps. Comptes d'anciens salariés toujours actifs, double authentification absente sur la messagerie, administrateurs à la pelle. C'est souvent là que le bât blesse dans une petite structure.
• Les sauvegardes et le plan de reprise : avez-vous des sauvegardes, sont-elles isolées du réseau, et surtout avez-vous déjà testé une restauration ? Une sauvegarde jamais restaurée est une hypothèse, pas une garantie. Face à un rançongiciel, c'est ce qui décide si vous perdez une journée ou votre entreprise.
• La sensibilisation des équipes : la majorité des incidents commencent par un e-mail piégé ouvert par un humain de bonne foi. Un audit regarde si vos collaborateurs savent reconnaître une tentative de phishing et à qui la signaler.
• Le volet conformité : RGPD depuis des années, et désormais la directive NIS2 pour les PME, qui rattrape des structures de taille moyenne qu'on croyait hors du radar réglementaire. Un audit sert aussi à savoir où vous en êtes par rapport à ces obligations.

La façon la plus simple de se représenter le périmètre, c'est de le voir en trois couches qui se superposent. L'organisation au socle, les systèmes internes au milieu, et tout en haut la partie que le monde entier peut atteindre depuis Internet.

La couche du haut est celle qu'un attaquant voit en premier, sans même vous connaître. C'est aussi la plus facile à cartographier de l'extérieur, et c'est précisément le rôle de l'EASM, la gestion de votre surface d'attaque externe. On y revient plus bas, car c'est le point de départ le plus rentable pour une PME.

Trois types d'audit qu'on ne doit pas confondre

Le piège classique : on met le mot « audit » sur trois choses très différentes, et on finit par payer l'une en croyant acheter l'autre. Mieux vaut savoir les distinguer avant de signer.

1. L'audit organisationnel

Il évalue vos processus, vos politiques et votre conformité par rapport à un référentiel (ISO 27001, guide d'hygiène de l'ANSSI, exigences NIS2). On regarde des documents, on mène des entretiens, on vérifie que les règles existent et sont appliquées. C'est un travail de gouvernance et de mise en conformité, très utile pour cocher des cases réglementaires, mais qui ne teste pas si un attaquant peut réellement entrer.

2. L'audit technique

Il inspecte la réalité de vos systèmes : configurations, durcissement, versions, architecture réseau, revue de code parfois. On ouvre le capot au lieu de lire une procédure. Ça reste une revue, cela dit : on constate un défaut de configuration sans forcément dérouler jusqu'au bout ce qu'un attaquant en ferait.

3. Le test d'intrusion

Le pentest, lui, adopte le point de vue de l'attaquant et cherche à prouver l'exploitation. On ne dit pas « ce composant est vulnérable », on démontre qu'on a pu prendre le contrôle d'un compte ou accéder à une donnée sensible. C'est la brique qui répond à la question qui vous empêche de dormir : est-ce qu'on peut entrer, et jusqu'où ? Pour le détail de la mécanique, on a écrit tout un article sur le déroulement d'un pentest.

Comment se déroule un audit, étape par étape

Quel que soit le type, un audit sérieux suit une trame prévisible. Il ne s'improvise pas, et vous n'êtes pas censé subir une boîte noire pendant deux semaines avant de recevoir un PDF illisible. Le déroulé ressemble à ceci.

L'étape qui fait toute la valeur, c'est la quatrième. Un audit ne se juge pas au nombre de vulnérabilités trouvées mais à la clarté de la priorisation. Cent problèmes listés sans hiérarchie, ce n'est pas un livrable, c'est une source d'angoisse. Ce que vous voulez, c'est savoir quelles sont les trois choses à corriger cette semaine, et pourquoi elles priment sur les quarante autres. Un bon rapport parle deux langues : celle du dirigeant (risque, impact business) et celle de la personne qui va appliquer les correctifs.

Combien coûte un audit informatique pour une PME

Impossible de donner un chiffre unique, parce qu'un audit organisationnel de conformité, une revue technique d'infrastructure et un test d'intrusion web n'ont ni la même charge ni le même métier derrière. Le prix dépend d'abord du périmètre : le nombre de systèmes, d'applications et de sites à couvrir. Une petite structure avec un seul site vitrine et une messagerie n'est pas dans le même budget qu'une PME avec un logiciel maison, une API et trois filiales.

La plupart des prestataires facturent au temps passé, sur la base d'un taux journalier. Plutôt que d'inventer des fourchettes ici, on renvoie à notre analyse détaillée et sourcée du prix d'un test d'intrusion, qui décortique les facteurs de coût et vous donne des ordres de grandeur réels pour le volet le plus technique d'un audit. La règle de bon sens reste la même partout : un audit annoncé à un tarif étonnamment bas cache presque toujours un simple scan automatisé rebaptisé en prestation.

Par où commencer concrètement quand on part de zéro

Si vous n'avez jamais rien fait, la pire décision serait de tout vouloir auditer d'un coup et de rester paralysé par le devis. Une PME progresse beaucoup mieux par étapes, en commençant par les gains les plus rentables. En pratique, voici l'ordre qui a du sens.

• Activez la double authentification partout où c'est possible, en priorité sur la messagerie et les accès administrateurs. C'est gratuit, ça se fait en une après-midi, et ça neutralise une énorme partie des attaques opportunistes.
• Faites l'inventaire de ce que vous exposez sur Internet. Vous ne pouvez pas sécuriser une surface d'attaque que vous n'avez jamais cartographiée. C'est le point de départ le plus rentable, parce qu'il révèle souvent des oublis critiques sans nécessiter d'audit lourd.
• Vérifiez vos sauvegardes en les restaurant pour de vrai.Une restauration test, une fois, vous en dira plus que dix procédures écrites. Assurez-vous qu'une copie est isolée du réseau.
• Cadrez ensuite un test d'intrusion sur votre actif le plus sensible, celui qui traite les paiements, les données clients ou les accès critiques. Inutile de tout tester au premier tour : concentrez le budget là où une intrusion ferait le plus mal.

Cette approche par priorités a un avantage : chaque étape réduit un risque concret avant même que l'audit complet ne commence, et elle vous arme pour discuter un devis en connaissance de cause plutôt que de signer les yeux fermés.

Où own2pwn intervient (et où on ne prétend pas jouer)

Soyons clairs sur notre rôle, parce que l'honnêteté fait partie du service. own2pwn ne délivre pas d'audit organisationnel ISO complet et ne détient pas de qualification PASSI de l'ANSSI. Si votre besoin est une certification de conformité de bout en bout, ce sera un cabinet qualifié, pas nous. En revanche, nous couvrons le volet offensif et technique, celui qui prouve ce qu'un attaquant peut faire, et qui est souvent le plus dur à trouver en interne.

Concrètement, on intervient sur deux briques d'un audit : la cartographie de votre exposition externe via notre plateforme EASM, qui trouve les actifs oubliés avant l'attaquant, et le test d'intrusion web mené par un pentester certifié OSWE, avec preuve d'exploitation et retest inclus. Ces deux briques s'insèrent dans un audit plus large, aux côtés du volet organisationnel qu'un partenaire spécialisé prendra en charge. On fait ce qu'on sait faire vraiment bien, et on le dit.

À retenir

• Un audit informatique pour une PME couvre trois couches : l'organisation, les systèmes internes et l'exposition externe. Le périmètre décide de tout, à commencer par le prix.
• Ne confondez pas les trois types d'audit : organisationnel (les règles), technique (leur mise en oeuvre) et test d'intrusion (leur résistance à une attaque réelle). Ils sont complémentaires.
• La valeur d'un audit est dans son rapport priorisé, pas dans le nombre de vulnérabilités listées. Exigez une hiérarchie par risque et un plan d'action.
• Le prix se juge au temps de spécialiste mobilisé. Un tarif anormalement bas cache un scan automatisé déguisé.
• Commencez par les quick wins : double authentification, inventaire de l'exposition externe, sauvegardes testées, puis un pentest ciblé sur l'actif le plus sensible.
• La conformité NIS2 rattrape des PME : intégrez ce volet au cadrage plutôt que de le découvrir sous la contrainte.

Commencer ne veut pas dire tout auditer demain matin, plutôt s'attaquer aux bons risques dans le bon ordre. Si vous voulez y voir clair sur ce qui vous expose et prioriser sans vous ruiner, parlez-en avec un expert : on cadre le périmètre avec vous et on vous dit honnêtement ce qui relève de notre métier et ce qui relève d'un partenaire. Pour approfondir en attendant, l'ANSSI publie un guide d'hygiène et des ressources NIS2 qui font une bonne base de départ.