Ce qu'un audit révèle vraiment de votre système d'information

Un mot de passe jamais changé, un compte d'ancien salarié encore actif, une sauvegarde jamais testée : ce sont rarement des failles spectaculaires qui ouvrent la porte aux ransomwares.

Ce qu'on trouve, presque à chaque fois

Après plus de 300 missions, les mêmes failles reviennent, quel que soit le secteur. Des comptes Active Directory d'anciens salariés jamais désactivés. Des VLAN téléphonie, vidéosurveillance et réseau bureautique qui se mélangent sur les mêmes switchs, sans réelle segmentation. Des sauvegardes externalisées, certes, mais jamais restaurées en conditions réelles — donc jamais réellement vérifiées. Un MFA activé sur la messagerie de la direction, mais pas sur les comptes à privilèges des administrateurs systèmes.

Rien de spectaculaire. C'est justement le problème : ce sont ces failles ordinaires, cumulées, qui ouvrent la porte aux ransomwares — le vecteur d'attaque le plus fréquent contre les collectivités territoriales et les PME aujourd'hui.

Des référentiels d'État, pas une grille maison

Un audit de cybersécurité qui s'appuie sur une grille interne, inventée pour l'occasion, ne vaut pas grand-chose face à un comité de direction ou à des élus. Le nôtre s'appuie sur le guide d'hygiène informatique et la méthode d'analyse de risques EBIOS Risk Manager de l'ANSSI — les mêmes référentiels que ceux utilisés par l'État pour qualifier la maturité cyber d'une organisation.

De plus, nous complétons par un audit technique de l'Active Directory avec PingCastle : score de maturité par domaine de risque, indicateurs de vulnérabilité concrets, pas de jargon. Gouvernance de la sécurité, politique de mots de passe, déploiement du MFA et du SSO, segmentation réseau et filtrage, PRA/PCA et politique de sauvegarde : chaque brique est passée au crible avec les mêmes outils qu'un pentester utiliserait pour vous attaquer.

RGPD, écoles, IA souveraine : les sujets qui montent

Sur le volet technique du RGPD — nous n'intervenons jamais sur le juridique — nous évaluons les flux de données et l'hébergement avec l'outil PIA (Analyse d'Impact relative à la Protection des Données) de la CNIL. Un référentiel national, pas une opinion d'expert.

Par ailleurs, pour les collectivités, un sujet revient systématiquement : la sécurisation des systèmes qui portent les Plans Particuliers de Mise en Sûreté (PPMS) dans les écoles — souvent le parent pauvre des budgets informatiques, alors que l'enjeu est maximal. Et pour toutes les organisations que nous accompagnons, une question émerge désormais : que faudrait-il, techniquement, pour déployer une intelligence artificielle générative souveraine — des agents bâtis sur des modèles Mistral, hébergés en interne, sans exposer ses données à des plateformes tierces ?

« On ne peut pas sécuriser ce qu'on n'a jamais cartographié. »

Un audit qui finit dans un tiroir n'a servi à rien. Le nôtre débouche sur une matrice des risques priorisée selon deux critères — urgence et importance — et une feuille de route cybersécurité pluriannuelle, budgétée. Deux restitutions distinctes sont prévues : une technique, pour les équipes IT ; une exécutive, pour la direction ou les élus, pensée pour être comprise sans expertise informatique.

Et parce qu'un audit ponctuel ne suffit pas toujours à sécuriser les décisions dans la durée, nous proposons en complément un accompagnement DSI à temps partagé — quelques jours par mois pour prioriser les actions, piloter la feuille de route SI et cybersécurité, et challenger les prestataires en place.

phases dans notre méthodologie d'audit, du cadrage à la restitution

points de vigilance du guide d'hygiène ANSSI passés en revue

intérêt commercial dans nos recommandations : tiers auditeur indépendant

Passons à l'acte