Audit informatique PME : la checklist pour savoir où vous en êtes
Un audit informatique utile transforme les inconnues de votre parc en décisions concrètes. Inventaire, accès, sauvegardes, correctifs, dépendances : voici ce qu'il faut examiner, les documents à préparer et les livrables à exiger pour obtenir un plan d'action exploitable.
L’essentiel
- Un audit utile relie chaque constat à un service métier, à un responsable et à une preuve.
- Exigez des preuves, pas une note globale : un score ne dit pas quoi corriger en premier.
- Ce qui n'a pas pu être vérifié doit apparaître comme tel, jamais comme une absence de problème.
- Les actions se classent par impact, exposition, effort et dépendances, pas par nombre de constats.
Sommaire de l’article
Un audit informatique n'a de valeur que s'il débouche sur des décisions. Une liste de matériels ou un score de sécurité isolé ne permettent pas d'arbitrer : le dirigeant doit comprendre ce qui peut interrompre l'activité, ce qui mérite un investissement et ce qui peut attendre.
Quel résultat attendre d'un audit informatique ?
Un état des lieux qui décrit la situation, explique ses conséquences et propose des actions classées. Le périmètre se définit avant le démarrage : sites, postes, serveurs, services en ligne et applications.
- Constat Ce qui a été observé
- Preuve Comment, et ce qui n'a pas pu l'être
- Conséquence Ce qui peut arriver à l'activité
- Action Qui corrige, quand, comment vérifier
Un audit de configuration n'est pas un test d'intrusion. Si vous attendez une recherche active de vulnérabilités, son périmètre et ses autorisations se cadrent séparément : c'est le métier du pentest.
Quels documents préparer avant l'audit ?
Tout ce qui existe, même imparfait. Une documentation lacunaire est déjà une information utile. Évitez en revanche d'envoyer des mots de passe dans un tableur ou un courriel : les accès se transmettent par un canal adapté, avec une durée et des droits limités.
- La liste des utilisateurs, des sites et des équipements.
- Les contrats de licences, d'abonnements et de prestataires.
- Le schéma réseau, s'il existe, et les accès Internet.
- Les règles de sauvegarde et les derniers comptes rendus de restauration.
- Les applications indispensables et leurs responsables.
- L'historique des incidents qui reviennent.
- Les projets prévus : embauches, déménagement, nouvel outil.
Quels domaines examiner ?
Six domaines couvrent l'essentiel d'un parc de PME. Pour chacun, demandez la méthode de collecte et ses limites.
- 01
- Parc : chaque équipement attribué à une personne et à un usage.
- 02
- Identités : comptes privilégiés, anciens salariés, authentification.
- 03
- Maintenance : versions obsolètes, correctifs en attente, fins de support.
- 04
- Données : où elles sont, qui y accède, avec quels droits.
- 05
- Continuité : une restauration réellement vérifiée, et ses dépendances.
- 06
- Support : incidents récurrents et façon dont ils sont traités.
Un ordinateur éteint ou un service inaccessible pendant l'audit doit apparaître dans les éléments non vérifiés. Présenter une absence de mesure comme une absence de problème donnerait une fausse impression de maîtrise. Le guide d'hygiène informatique de l'ANSSI et ses 42 mesures fournissent une bonne grille de référence.
Inventaire informatique : reprendre le contrôle de son parc
Comment classer les constats ?
En croisant l'impact, l'exposition et l'effort de correction. Une faiblesse sur un service critique accessible depuis Internet passe avant le remplacement d'un ordinateur lent, même si ce dernier agace davantage au quotidien.
- Impact fort, effort faible À faire tout de suite : un compte d'ancien salarié actif, une sauvegarde jamais testée.
- Impact fort, effort important À planifier et budgéter : remplacer un serveur, segmenter le réseau.
- Impact faible, effort faible À traiter au fil de l'eau, lors de la maintenance.
- Impact faible, effort important À arbitrer, ou à abandonner en le disant.
Effort de correction croissantImpact croissant
Une fiche d'action tient en quelques champs : constat, preuve, conséquence, correction proposée, responsable, échéance et critère de réussite. Le coût, lorsqu'il est estimé, distingue l'achat et le temps d'intervention.
Quels livrables exiger ?
Deux documents et un rendez-vous. Une synthèse lisible par la direction, une annexe technique exploitable par la personne qui corrigera, et une restitution avec du temps pour les questions.
- La synthèse direction Les risques qui comptent, en langage clair, et les décisions attendues.
- L'annexe technique L'inventaire exportable et les fiches d'action détaillées.
- La restitution Une réunion pour comprendre, questionner et arbitrer.
- La revue à trois mois Ce qui a réellement changé après les premières corrections.
Les recommandations doivent distinguer les mesures immédiates, les chantiers à planifier et les arbitrages qui demandent une décision métier. Un audit sert aussi de point de départ à une infogérance bien cadrée ou à un changement de prestataire.
Questions fréquentes
Combien de temps prend un audit ?
La durée dépend du nombre de sites, des accès disponibles et du niveau d'analyse. Demandez une estimation liée à un périmètre écrit, et identifiez les personnes qui devront être disponibles.
Faut-il attendre une panne pour auditer ?
Non. Une croissance rapide, un changement de prestataire ou un projet de migration sont de bons moments pour établir un état initial et éviter les découvertes tardives.
L'audit inclut-il la cybersécurité ?
Un audit de parc couvre l'hygiène de sécurité : comptes, correctifs, sauvegardes, configuration. Un test d'intrusion, qui cherche activement à exploiter des failles, est une prestation distincte avec ses propres autorisations.
Que faire des constats qu'on ne peut pas corriger tout de suite ?
Les documenter avec une mesure temporaire, la personne qui accepte le risque et une date de réexamen. Un risque accepté par écrit vaut mieux qu'un risque oublié.
