Un audit de cybersécurité évalue les contrôles techniques et organisationnels de l'entreprise au moyen de tests d'intrusion, d'OSINT et d'analyses de vulnérabilités. Coût pour une PME : 3 000-15 000 €.

La plupart des entreprises ignorent à quel point elles sont vulnérables jusqu'à ce qu'elles subissent une attaque. Un audit de cybersécurité vous fournit cette photographie avant qu'il ne soit trop tard : il vous indique exactement où se situent vos faiblesses, lesquelles sont exploitables, quel impact aurait une attaque réussie et ce que vous devez traiter en priorité pour ramener le risque à un niveau acceptable. Ce n'est pas un luxe : c'est l'investissement de sécurité le plus rentable que vous puissiez faire, car il vous permet d'orienter vos ressources limitées là où elles sont le plus nécessaires.

Si vous avez besoin de comprendre le panorama complet des services de cybersécurité, consultez notre article sur le conseil en cybersécurité pour les entreprises.

Quels sont les types d'audit de cybersécurité ?

Un audit professionnel combine quatre techniques complémentaires, qui ne s'excluent pas l'une l'autre.

Audit de conformité

Il évalue si votre organisation respecte un cadre réglementaire ou un référentiel précis : ENS (cadre national de sécurité espagnol), ISO 27001, RGPD, NIS2, PCI DSS. L'auditeur vérifie l'existence et l'efficacité des contrôles exigés par la norme, identifie les écarts de conformité et fournit un plan de mise en conformité. C'est l'audit le plus adapté lorsque vous avez une obligation réglementaire précise à respecter, lorsque vous préparez une certification, ou lorsque vous devez démontrer à un client ou dans le cadre d'un appel d'offres que vous respectez certaines exigences de sécurité.

Audit technique (évaluation des vulnérabilités)

Il recourt à des outils automatisés et à des techniques manuelles pour identifier les vulnérabilités de vos systèmes, applications, réseaux et configurations. Il analyse les ports ouverts, les services exposés, les versions logicielles présentant des vulnérabilités connues, les configurations non sécurisées et les mots de passe faibles. L'évaluation des vulnérabilités fournit un inventaire complet des faiblesses techniques de votre infrastructure, priorisées par gravité (critique, élevée, moyenne, faible) selon des standards tels que le CVSS (Common Vulnerability Scoring System).

Test d'intrusion (pentest)

Le test d'intrusion va un cran plus loin : il simule une attaque réelle afin de déterminer si les vulnérabilités identifiées sont réellement exploitables et quel serait l'impact de leur exploitation. Il existe trois modalités selon les informations communiquées à l'équipe de pentest. En mode boîte noire, le testeur ne connaît que le nom de l'entreprise et ses domaines publics : il simule un attaquant externe sans information privilégiée. En mode boîte grise, on lui fournit des informations partielles (identifiants d'un utilisateur standard, schémas de réseau, listes d'applications) : il simule un attaquant disposant d'un accès limité ou un employé malveillant. En mode boîte blanche, le testeur dispose d'un accès complet à la documentation technique, au code source et aux identifiants privilégiés : c'est la modalité la plus exhaustive et celle qui détecte le plus de vulnérabilités. La boîte grise est l'équilibre le plus courant pour les PME.

Audit d'ingénierie sociale

Il évalue la résistance de votre organisation face aux attaques de manipulation humaine. Il comprend des campagnes de phishing simulé (envoi de courriels qui tentent de tromper les employés pour qu'ils révèlent leurs identifiants ou exécutent un logiciel malveillant), de vishing (appels téléphoniques simulés visant à obtenir des informations confidentielles) et des tests d'accès physique (tentatives d'accès à des locaux restreints au moyen du pretexting). Cet audit est particulièrement précieux, car le facteur humain est responsable de 95 % des incidents de sécurité et ne peut être atténué par la seule technologie.

Comment se déroule un audit de cybersécurité professionnel ?

Le processus se structure en quatre phases. La phase de cadrage et de planification définit le périmètre (quels systèmes, réseaux, applications et sites sont inclus), la modalité, les règles d'engagement, le calendrier et les contacts d'urgence ; elle est essentielle pour éviter les mauvaises surprises. La phase d'exécution voit l'équipe d'audit réaliser les tests conformément au plan convenu, en maintenant la communication avec le point de contact désigné pour signaler tout constat critique. La phase d'analyse et de restitution produit un rapport comprenant une synthèse exécutive pour la direction (risque global, impact potentiel, recommandations principales), un rapport technique détaillé pour chaque vulnérabilité (description, gravité, preuve, recommandation de correction), une priorisation fondée sur le risque et un plan de remédiation assorti d'actions, de responsables et de délais. Enfin, la phase de suivi inclut une vérification ultérieure (re-test) pour confirmer que les vulnérabilités critiques et élevées ont été corrigées, généralement entre 30 et 90 jours après la remise du rapport.

Quelle est la fréquence recommandée des audits ?

La fréquence dépend du niveau de risque de votre organisation et de vos obligations réglementaires. À titre de référence, l'audit de conformité doit être réalisé au moins une fois par an (et toujours avant les audits de certification ISO 27001 ou ENS). L'évaluation des vulnérabilités doit être au moins trimestrielle pour les environnements dynamiques et semestrielle pour les environnements stables. Le test d'intrusion doit être effectué chaque année et systématiquement après toute modification significative de l'infrastructure. Quant aux campagnes de phishing simulé, elles doivent être menées au moins une fois par trimestre afin de maintenir la vigilance de l'équipe.

Quels sont les coûts et comment financer l'audit ?

Un audit de cybersécurité complet (conformité + évaluation technique + test d'intrusion de base) pour une PME de 10 à 50 salariés se situe entre 4 000 et 12 000 euros, selon la complexité de l'environnement et la profondeur des tests. Ce coût peut être financé par le Kit Consulting dans sa catégorie cybersécurité (le diagnostic de sécurité étant un livrable exigé) ou par les aides régionales telles que DigitalICE en Castilla y León (ligne ARGOS de cybersécurité) ou les Innobonos aux îles Canaries.

Sources officielles

Le marketing du cerveau est plus prévisible que le marketing de l'opinion. — Ángel Ortega Castro