Kaizen.fr
Audit Informatique & cybersécurité

Audit cybersécurité d’une PME

Quarante-six questions qu’un dirigeant ou un responsable de PME peut vérifier lui-même, sans informaticien : comptes et mots de passe, mises à jour, sauvegardes, locaux, formation des équipes, réaction en cas d’attaque. Oui / Partiel / Non, un score par thème, une action par écart.

Référence : Guide d’hygiène informatique de l’ANSSI · repères ISO 27002 · répond aux questionnaires des assureurs cyber et aux exigences des donneurs d’ordre (NIS2)

À quoi sert ce modèle

Une PME n’est pas attaquée parce qu’elle est intéressante, mais parce qu’elle est facile : un mot de passe réutilisé, une sauvegarde jamais testée, un poste jamais mis à jour. Cet audit passe en revue ce qui rend une entreprise facile ou difficile à attaquer, avec des questions auxquelles on peut répondre sans être informaticien — et quand il faut demander au prestataire, la question le dit.

Il reprend l’esprit du guide d’hygiène informatique de l’ANSSI et le barème des audits professionnels (Oui, Partiel, Non, N/A), mais laisse de côté ce qui relève d’un expert : tests d’intrusion, analyse des journaux, configuration des pare-feux. Ça, c’est un autre audit, pour un autre public.

Pour qui : dirigeant de PME ou TPE, responsable administratif, responsable qualité ou sécurité qui « s’occupe aussi de l’informatique », prestataire informatique qui veut donner un état des lieux lisible à son client.

Fréquence recommandée : une fois par trimestre. Une fois par mois pendant les six mois qui suivent un incident ou un changement de prestataire. Les assureurs et les donneurs d’ordre demandent de plus en plus la preuve que ça a été fait.

Ce que mesure le score : la part des mesures en place. Sous 50 %, l’entreprise est une cible facile : actions urgentes. Entre 50 et 75 %, les bases existent mais tiennent sur une personne ou un coup de chance. Visez 76 % et plus : des mesures qui tiennent toutes seules, vérifiées régulièrement.

Les 46 points de ce modèle

0 questions notées sur 46. Chaque question a son type de réponse et, quand c’est utile, un seuil d’alerte.

Ce modèle est un point de départ. Une fois copié dans votre compte, tout se modifie : les questions, leur formulation, les seuils, les sections, et vous ajoutez vos propres points de mesure.

Organisation et responsabilités

  1. Une personne est responsable de la sécurité informatique dans l’entreprise, même à temps partiel

    Un salarié, le dirigeant lui-même ou le prestataire : ce qui compte, c’est que ce soit écrit et connu de tous.

    Non / Partiel / Oui

  2. Des règles d’usage de l’informatique existent et chaque salarié les a lues et signées

    La « charte informatique » : mots de passe, usage personnel, clés USB, télétravail, que faire en cas de doute.

    Non / Partiel / Oui

  3. La direction a fait le point dans l’année sur les risques informatiques et ce qui est en place

    Une heure par an suffit : qu’est-ce qui nous arrêterait, qu’est-ce qui nous coûterait le plus ?

    Non / Partiel / Oui

  4. Les obligations légales et contractuelles sont identifiées (RGPD, exigences des clients, contrat d’assurance cyber)

    Le questionnaire de l’assureur et les clauses des gros clients disent ce qu’on attend de vous.

    Non / Partiel / Oui

  5. Le prestataire informatique a un contrat écrit, avec clause de confidentialité et délai d’intervention

    Sans contrat, pas de délai garanti le jour où tout est arrêté.

    Non / Partiel / Oui

  6. Le budget et le temps consacrés à la sécurité informatique sont décidés pour l’année

    Même modeste. Une sécurité sans budget repose sur la bonne volonté.

    Non / Partiel / Oui

Inventaire et données

  1. La liste des ordinateurs, serveurs, téléphones et équipements réseau est à jour : qui l’utilise, où il est

    On ne protège pas ce qu’on ne connaît pas. Une feuille de calcul suffit.

    Non / Partiel / Oui

  2. La liste des logiciels et des abonnements en ligne est à jour, avec les licences

    Y compris les outils pris par un service sans en parler : messagerie, partage de fichiers, gestion de paie.

    Non / Partiel / Oui

  3. La description du réseau et des accès Internet est écrite et accessible à un remplaçant

    Box, pare-feu, wifi, serveurs, prestataires : de quoi s’y retrouver si la personne qui sait n’est pas là.

    Non / Partiel / Oui

  4. On sait quelles données sont sensibles (clients, paie, plans, devis, brevets) et où elles sont stockées

    Serveur, postes, cloud, téléphones, clés USB… et parfois dans une boîte mail.

    Non / Partiel / Oui

  5. Les équipements sortants (postes, disques, téléphones, imprimantes) sont effacés ou détruits avant de partir

    Un disque revendu ou jeté sans effacement, c’est l’entreprise entière dans une benne.

    Non / Partiel / Oui

Personnes et formation

  1. Les salariés ont été sensibilisés dans l’année aux mails piégés, aux pièces jointes et aux mots de passe

    Une demi-heure, des exemples réels reçus par l’entreprise. C’est la mesure la plus rentable de cette grille.

    Non / Partiel / Oui

  2. À l’arrivée d’un salarié, ses accès sont créés selon une liste ; à son départ, ils sont coupés le jour même

    Messagerie, logiciels, badge, wifi, accès à distance, outils en ligne. La liste évite l’oubli.

    Non / Partiel / Oui

  3. Une seule personne ne détient pas à elle seule tous les mots de passe et toute la connaissance du système

    Si elle est absente, malade ou partie, l’entreprise doit pouvoir continuer : mots de passe d’administration consignés en lieu sûr, procédures écrites.

    Non / Partiel / Oui

  4. Les salariés savent à qui signaler un mail ou un comportement suspect, et le font

    Un signalement en dix secondes vaut mieux qu’un silence par peur d’avoir cliqué.

    Non / Partiel / Oui

  5. Les personnes qui manipulent des données sensibles connaissent les règles d’envoi, de stockage et d’impression

    Paie, données clients, plans : pas par mail en clair, pas sur une clé USB personnelle, pas à l’imprimante partagée sans aller la chercher.

    Non / Partiel / Oui

Locaux et matériel

  1. Le local serveur ou la baie réseau est fermé à clé, avec un accès limité aux personnes autorisées

    Un serveur dans un couloir ou un placard ouvert se débranche, se vole ou s’arrose.

    Non / Partiel / Oui

  2. Les visiteurs sont accompagnés dans les zones où se trouvent des postes et des données

    Bureaux, atelier avec postes connectés, local technique.

    Non / Partiel / Oui

  3. Le local technique est protégé de l’incendie, des fuites d’eau et de la chaleur

    Détecteur de fumée, pas sous une canalisation ni une toiture douteuse, ventilation ou climatisation suffisante.

    Non / Partiel / Oui

  4. L’alimentation électrique des serveurs et équipements réseau est secourue par un onduleur, testé dans l’année

    L’onduleur laisse le temps de s’arrêter proprement ; une batterie morte ne le fait pas.

    Non / Partiel / Oui

  5. Les postes se verrouillent automatiquement après quelques minutes d’inactivité et à la fermeture de session

    Un poste ouvert dans un bureau vide, c’est un accès pour n’importe qui.

    Non / Partiel / Oui

  6. Les ordinateurs portables et les téléphones professionnels sont chiffrés et protégés par un code

    Chiffrement activé (BitLocker, FileVault, chiffrement du téléphone) : un appareil perdu reste illisible.

    Non / Partiel / Oui

Comptes et mots de passe

  1. Chaque personne a son propre compte ; pas de compte partagé (« atelier », « accueil ») sauf cas justifié et surveillé

    Sans compte nominatif, impossible de savoir qui a fait quoi, ni de couper un accès sans gêner tout le monde.

    Non / Partiel / Oui

  2. Chacun n’a accès qu’à ce dont il a besoin pour son travail, et les droits sont revus au moins une fois par an

    La compta n’a pas besoin des plans, l’atelier n’a pas besoin de la paie.

    Non / Partiel / Oui

  3. Les comptes administrateur sont peu nombreux, nominatifs, et ne servent pas au travail quotidien

    On administre avec un compte dédié, on travaille avec un compte normal.

    Non / Partiel / Oui

  4. Les mots de passe sont longs (12 caractères ou plus), différents pour chaque service, et un gestionnaire de mots de passe est proposé aux salariés

    Le gestionnaire évite le carnet et le post-it. Longueur avant complexité.

    Non / Partiel / Oui

  5. La double authentification (code sur le téléphone) est activée sur la messagerie, les accès à distance et les outils en ligne sensibles

    C’est la mesure qui arrête le plus d’attaques pour le moins d’effort. À demander au prestataire si besoin.

    Non / Partiel / Oui

  6. Les mots de passe par défaut ont été changés sur la box, les imprimantes, les caméras, le wifi et les équipements réseau

    Les mots de passe d’usine sont publics.

    Non / Partiel / Oui

  7. Les accès à distance (télétravail, prestataire) passent par un accès sécurisé (VPN ou équivalent) et sont tracés

    Pas de bureau à distance ouvert directement sur Internet. À vérifier avec le prestataire.

    Non / Partiel / Oui

Postes, serveurs et réseau

  1. Les mises à jour du système et des logiciels s’installent automatiquement sur tous les postes

    La plupart des attaques exploitent une faille déjà corrigée depuis des mois.

    Non / Partiel / Oui

  2. Les serveurs et les équipements réseau (box, pare-feu, switch, NAS) sont mis à jour régulièrement, et aucun n’est en fin de support

    Un serveur ou un Windows plus maintenu n’a plus de correctifs : il faut le remplacer ou l’isoler.

    Non / Partiel / Oui

  3. Un antivirus (ou EDR) est installé, actif et à jour sur tous les postes et serveurs, et quelqu’un est alerté quand il s’arrête

    Présent sur tous, pas sur « la plupart ». L’alerte en cas d’arrêt fait la moitié de la mesure.

    Non / Partiel / Oui

  4. Les utilisateurs ne sont pas administrateurs de leur poste et ne peuvent pas installer n’importe quel logiciel

    Un mail piégé cliqué par un utilisateur simple fait beaucoup moins de dégâts.

    Non / Partiel / Oui

  5. Le wifi de l’entreprise est séparé du wifi invité, tous deux avec un mot de passe robuste

    Les visiteurs et les téléphones personnels n’ont rien à faire sur le réseau des postes et des serveurs.

    Non / Partiel / Oui

  6. Un pare-feu protège la connexion Internet et seuls les accès nécessaires sont ouverts

    Question pour le prestataire : « qu’est-ce qui est ouvert depuis l’extérieur, et pourquoi ? »

    Non / Partiel / Oui

  7. Les clés USB et disques externes sont contrôlés (analyse antivirus) ou interdits

    Une clé trouvée sur le parking est un classique qui marche encore.

    Non / Partiel / Oui

  8. La messagerie a un filtre anti-spam et anti-hameçonnage actif, et le nom de domaine est protégé contre l’usurpation (SPF, DKIM, DMARC)

    Trois réglages que le prestataire ou l’hébergeur de la messagerie pose en une heure. Ils empêchent qu’on écrive en votre nom.

    Non / Partiel / Oui

Sauvegardes et continuité

  1. Les sauvegardes sont automatiques et quotidiennes, et couvrent tout ce qui compte : serveur, postes clés, outils en ligne

    Y compris la messagerie et les fichiers dans le cloud : « c’est dans le cloud » n’est pas une sauvegarde.

    Non / Partiel / Oui

  2. Une copie des sauvegardes est hors site ou hors ligne, inaccessible depuis le réseau

    Règle du 3-2-1 : trois copies, deux supports, une hors les murs. Un rançongiciel chiffre aussi les sauvegardes connectées.

    Non / Partiel / Oui

  3. Une restauration a été testée dans les six derniers mois, et elle a fonctionné

    Un fichier, un dossier, un serveur entier : notez la date et le temps que ça a pris.

    Non / Partiel / Oui

  4. On sait combien de temps l’entreprise peut tenir sans informatique, et ce qu’on fait pendant ce temps

    Un plan de reprise, même d’une page : qui appelle qui, comment on facture, comment on produit.

    Non / Partiel / Oui

  5. Les incidents (virus, mail piégé cliqué, panne, perte de matériel) sont notés, analysés et suivis jusqu’à correction

    Un incident non noté se reproduira.

    Non / Partiel / Oui

  6. On sait qui appeler en cas d’attaque, et la fiche est accessible sans l’informatique

    Prestataire, assureur, cybermalveillance.gouv.fr, banque : sur papier, dans un endroit connu, parce que le jour venu les écrans seront noirs.

    Non / Partiel / Oui

Pilotage

  1. Les actions décidées au dernier audit ont été réalisées et vérifiées

    Kaizen.fr les liste : celles qui restent ouvertes répondent à la question.

    Non / Partiel / Oui

  2. Un contrôle périodique vérifie que les mesures tiennent : revue des accès, des sauvegardes, des règles du pare-feu

    La sécurité se dégrade toute seule ; c’est la vérification régulière qui la maintient.

    Non / Partiel / Oui

  3. La direction a vu le résultat de cet audit et a arbitré les actions

    Sans arbitrage, les actions attendent le prochain incident.

    Non / Partiel / Oui

Construit avec Kaizen.fr

Ce modèle emploie 1 des 10 types de réponse du moteur. Les voici tous : votre formulaire se compose avec ceux que votre métier demande.

  • Valeur numérique avec unité
  • Valeur cible ± tolérance
  • Note
  • Pourcentage
  • Échelle personnalisée employé ici
  • OK / NOK
  • Liste de choix
  • Texte libre
  • Date
  • Photo à fournir

Comment l’utiliser

  1. Répondez avec des preuves, pas des souvenirs. « Les sauvegardes marchent » n’est pas une réponse ; « on a restauré le dossier compta le 12 mars et ça a pris vingt minutes » en est une. Sans preuve, cochez Partiel.
  2. Faites-le à deux : vous et la personne qui touche à l’informatique (salarié ou prestataire). Vous, vous savez ce qui compte pour l’entreprise ; elle, elle sait ce qui est réellement en place. Les écarts entre les deux réponses sont les plus instructifs.
  3. Partiel est un écart. Une mesure « en cours », « prévue », « faite pour la plupart des postes » n’arrête pas une attaque. Elle crée une action.
  4. N/A sans hésiter quand la question ne vous concerne pas : pas de serveur, pas de télétravail, pas de wifi invité. Le score n’en tient pas compte.
  5. Créez les actions à la fin, sur place, une par écart, avec un responsable et une date. Traitez d’abord ce qui coûte peu et protège beaucoup : double authentification sur la messagerie, sauvegarde hors ligne, mises à jour automatiques.
  6. Re-mesurez le trimestre suivant. La courbe par thème dit si la sécurité progresse ou si elle repose toujours sur la même personne.

Les erreurs classiques

  • Laisser le prestataire répondre seul. Il répondra Oui de bonne foi à ce qu’il a installé, pas à ce que les salariés font vraiment. L’audit mesure les deux.
  • Confondre « on a un antivirus » et « il est actif partout et quelqu’un est prévenu quand il s’arrête ». La deuxième moitié de la phrase fait toute la différence.
  • Ne jamais tester la restauration. Une sauvegarde qu’on n’a jamais restaurée est une hypothèse, pas une sauvegarde.
  • Croire que c’est trop petit pour intéresser quelqu’un. Les attaques sont automatiques ; elles ne choisissent pas, elles trouvent.
  • Faire l’audit une fois pour l’assureur et le ranger. Un mot de passe change, un salarié part, un logiciel n’est plus maintenu : la sécurité se dégrade toute seule. D’où le trimestre.