Votre informatique fonctionne, alors pourquoi l’auditer ? Parce que « ça marche » ne veut pas dire « c’est sûr » ni « c’est durable ». Des sauvegardes jamais testées, un ancien prestataire qui a toujours ses accès, un serveur hors garantie, des licences en trop ou en moins : ces situations sont invisibles au quotidien et se révèlent au pire moment.
Un audit informatique est une photographie complète de votre système d’information, assortie d’un plan d’action priorisé. Voici ce qu’il couvre, quand le réaliser et comment en tirer le meilleur parti.
L’essentiel en 30 secondes
- Un audit répond à trois questions : qu’avons-nous ?, quels sont nos risques ?, que faire en priorité ?
- Il couvre le matériel, les logiciels, le réseau, les sauvegardes, la sécurité, les accès, l’organisation et la conformité RGPD.
- Le livrable utile n’est pas un rapport de 80 pages, mais un plan d’action priorisé et chiffré.
- À faire : à la reprise d’un parc, avant un investissement, après un incident, et tous les deux à trois ans.
Les signaux qui doivent vous alerter
- Personne ne sait exactement où sont les sauvegardes, ni si elles fonctionnent.
- L’informatique repose sur une seule personne (salarié, bénévole, prestataire).
- Les mots de passe administrateur sont partagés ou notés quelque part.
- Des ordinateurs ou serveurs ne reçoivent plus de mises à jour.
- Vous avez subi un incident (phishing, virus, perte de données) sans en comprendre l’origine.
- Un changement important arrive : déménagement, croissance, nouveau logiciel, changement de prestataire, changement de bureau dans une association.
- Un client, un assureur ou un partenaire vous pose des questions sur votre sécurité.
Ce que couvre un audit
| Domaine | Ce qu’on vérifie |
|---|---|
| Inventaire | Postes, serveurs, réseau, imprimantes, mobiles, logiciels, licences, âge et garantie |
| Postes de travail | Mises à jour, antivirus, chiffrement, droits d’administration, état matériel |
| Réseau | Box et pare-feu, Wi-Fi, segmentation, équipements exposés sur Internet |
| Sauvegardes | Périmètre, fréquence, copie hors site et immuable, test de restauration |
| Identités et accès | Comptes, mots de passe, double authentification, comptes orphelins |
| Messagerie et cloud | Configuration de sécurité, partages, SPF/DKIM/DMARC |
| Site web | Mises à jour, sécurité, sauvegarde, référencement de base |
| Organisation | Procédures, documentation, sensibilisation, prestataires, contrats |
| Conformité | Registre RGPD, mentions, durées de conservation, sous-traitants |
Le déroulé type
- Cadrage (1 à 2 heures) : comprendre l’activité, les outils critiques, les contraintes et les inquiétudes.
- Collecte sur site (une demi-journée à une journée pour une petite structure) : relevés techniques, entretiens courts avec les utilisateurs clés, sans interruption de service.
- Analyse : évaluation des risques, de la maturité et des écarts par rapport aux bonnes pratiques reconnues (guides de l’ANSSI, recommandations de la CNIL).
- Restitution : présentation des constats et du plan d’action, avec des explications compréhensibles par une direction ou un bureau associatif.
Le livrable : ce que vous devez obtenir
- une synthèse d’une ou deux pages, lisible par un non-spécialiste ;
- un niveau de maturité par domaine, permettant de mesurer les progrès lors d’un audit suivant ;
- un plan d’action classé par priorité (urgent, important, souhaitable), avec effort et budget estimés ;
- un inventaire réutilisable ;
- les « victoires rapides » : ce qui peut être corrigé tout de suite, pour peu d’efforts.
Un bon indicateur : à la lecture de la synthèse, le dirigeant ou le président doit savoir exactement quoi décider.
Exemple de résultats typiques
Dans une petite structure, un audit révèle souvent : des sauvegardes sur un disque branché en permanence (donc vulnérables à un rançongiciel), une double authentification absente sur la messagerie, deux ou trois postes qui ne reçoivent plus de mises à jour, un accès à distance exposé directement sur Internet, et des comptes d’anciens collaborateurs toujours actifs. Rien de spectaculaire, mais un ensemble qui, combiné, rend l’organisation très vulnérable. Et la plupart de ces points se corrigent en quelques semaines.
Comment exploiter l’audit
- Traitez immédiatement les points urgents (sauvegardes, MFA, accès exposés).
- Inscrivez les points importants dans un calendrier sur 3 à 6 mois.
- Budgétez les renouvellements matériels sur 2 à 3 ans.
- Désignez un responsable du suivi.
- Prévoyez un point d’étape à 6 mois et un nouvel audit à 2 ou 3 ans pour mesurer les progrès.
Questions fréquentes
Combien coûte un audit informatique ?
Le prix dépend de la taille du parc et du périmètre. Pour une petite structure, il s’agit généralement de quelques jours de travail au total. Demandez un devis détaillant le périmètre et le livrable.
L’audit perturbe-t-il l’activité ?
Non. Les relevés se font en accord avec vous, sans coupure de service. Quelques échanges courts avec les utilisateurs suffisent.
Mon prestataire actuel peut-il faire l’audit ?
Il peut faire un état des lieux, mais un regard extérieur est plus objectif, notamment pour évaluer sa propre prestation.
Faut-il un audit pour être conforme au RGPD ?
Ce n’est pas une obligation en soi, mais c’est le moyen le plus efficace de vérifier que la sécurité des données est réellement assurée, ce que le RGPD exige.
Quel est le délai pour obtenir les résultats ?
Généralement une à deux semaines après la visite. Découvrez notre offre d’audit informatique et cybersécurité et l’audit complet du parc.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
