Audit de cybersécurité : périmètre, méthode, preuves et plan de remédiation priorisé

Un audit utile ne cherche pas à prouver que tout va mal. Il révèle ce qui est capable d’arrêter, d’exposer ou de tromper l’entreprise.
Cadrez les scénarios, exigez les preuves, testez les contrôles et financez les corrections dans le bon ordre.

1. Lundi, 8 h 12 : ce que le rapport précédent n’avait pas vu

Le directeur financier reçoit un message d’un fournisseur connu. Le fil de discussion est réel, la signature correcte, le ton familier. Seul le RIB a changé. Au même moment, l’administrateur du prestataire informatique découvre qu’un ancien compte possède encore un accès distant. La sauvegarde nocturne est verte, mais personne ne l’a restaurée depuis dix-huit mois. Le précédent diagnostic, lui, présentait 92 % de conformité.

Ce scénario est composite ; il ne décrit pas un client particulier. Il rassemble pourtant des faiblesses ordinaires : messagerie compromise, processus de paiement contourné, identité dormante, dépendance prestataire, sauvegarde non éprouvée, score global rassurant. Aucune n’exige un attaquant de cinéma. Leur combinaison suffit.

On reconnaît les audits décoratifs à leurs symptômes. Le périmètre tient en une phrase. Les tests sont presque entièrement automatisés. Les personnes interrogées appartiennent uniquement à l’IT. Les actifs critiques ne sont pas reliés aux opérations. Une vulnérabilité technique reçoit une note, mais une fraude au virement ou une restauration impossible n’entre pas dans le modèle. Le rapport additionne des écarts et conclut par une moyenne.

L’organisation obtient un document. Elle n’obtient pas une décision.

2. Verdict : ce qu’est un audit de cybersécurité

Un audit de cybersécurité est un examen indépendant, limité dans le temps et fondé sur des preuves, qui évalue si les dispositifs techniques et organisationnels d’un périmètre réduisent effectivement les scénarios de risque jugés importants pour l’organisation.

Cette définition contient cinq exigences.

• Un mandat : qui commande, qui autorise les tests et qui reçoit les résultats.
• Un périmètre : systèmes, sites, identités, données, locaux, filiales, fournisseurs et exclusions.
• Des critères : référentiels publics, obligations, politiques internes, architecture attendue et niveau de risque accepté.
• Des preuves : configurations, exports, journaux, contrats, observations, entretiens, tests et restaurations.
• Une conclusion proportionnée : constats, limites, priorités, responsables, échéances et contre-test.

L’exercice ne garantit pas l’absence future d’incident. Il donne une assurance raisonnable sur les éléments observés à une date donnée et révèle les inconnues qui empêchent de conclure. Un système change dès qu’un compte est créé, qu’un fournisseur intervient, qu’un correctif arrive ou qu’une règle métier évolue.

L’audit ne constitue donc pas un certificat d’invulnérabilité. C’est un mécanisme de réduction de l’incertitude.

3. Chiffres clés : 3 586 événements ANSSI, 6 167 violations CNIL et 500 000 assistances

Les sources ne décrivent pas le même univers. L’ANSSI rapporte les événements qui lui sont connus ; la CNIL observe les notifications et contrôles ; Cybermalveillance.gouv.fr mesure les parcours d’assistance ; France Num interroge des dirigeants ; Verizon consolide un corpus international. Les additionner serait une erreur. Les croiser, en revanche, éclaire les surfaces à éprouver.

La menace donne le décor. Les preuves locales donnent le verdict.

4. Audit, scan, pentest et certification : quatre objets différents

L’ANSSI précise dans le référentiel PASSI 2.2 qu’une activité réalisée entièrement de manière automatisée ne constitue pas, à elle seule, une activité d’audit au sens du référentiel. Cette nuance protège l’acheteur : un export d’outil nourrit une investigation sans remplacer le jugement, la contextualisation et la contradiction.

Certaines organisations ou certains marchés exigent un prestataire qualifié, un référentiel particulier ou une indépendance formelle. Vérifiez l’obligation contractuelle et réglementaire avant de choisir l’intervenant. N’assimilez jamais un audit généraliste à une prestation PASSI lorsque ce n’est pas le cas.

5. Les cinq surfaces et dépendances à examiner

5.1. Gouvernance, actifs et dépendances

L’analyse commence par ce que l’entreprise doit continuer à faire : facturer, produire, payer, livrer, soigner, répondre, vendre ou conserver une preuve. On relie ensuite ces capacités aux actifs numériques, propriétaires, données, fournisseurs et délais acceptables d’interruption.

L’absence d’inventaire est déjà un constat. Elle rend impossible la couverture des correctifs, la révocation des accès, le suivi des domaines, la classification des données et la préparation de la reprise. Le NIST CSF 2.0 ajoute explicitement la fonction Govern aux cinq fonctions historiques : la cybersécurité doit être reliée aux décisions, aux responsabilités et à la chaîne d’approvisionnement.

5.2. Identités, privilèges et processus financiers

Comptes humains, comptes de service, administrateurs, prestataires, OAuth, API, MFA, départs, secrets et boîtes partagées forment un même système d’accès. L’auditeur ne se contente pas de demander si la MFA « existe ». Il échantillonne les comptes critiques, examine les exceptions, vérifie les méthodes de secours et teste le retrait d’un accès.

La messagerie rejoint les paiements. Un changement de RIB, une demande urgente du dirigeant ou une modification de paie doit rencontrer un contrôle hors du canal potentiellement compromis. Les 21 % d’assistances liées au piratage de compte et les 13,5 % liées à la fraude au virement chez les professionnels justifient cette lecture transversale.

5.3. Architecture, configuration, code et exposition

Cette surface couvre services Internet, pare-feu, cloud, postes, serveurs, applications, API, CMS, dépendances, correctifs, chiffrement et segmentation. Selon le mandat, elle combine revue d’architecture, audit de configuration, analyse de code, scan et test d’intrusion.

Le chiffre DBIR de 31 % place l’exploitation de vulnérabilités au premier rang des points d’entrée observés dans son corpus 2026. Il ne signifie pas que 31 % des PME françaises seront compromises de cette manière. Il indique que l’inventaire, le patch management et la maîtrise de l’exposition méritent des preuves plus solides qu’une déclaration « tout est à jour ».

5.4. Données, cloud et tiers

Où résident les données ? Qui est habilité à les exporter ? Combien de temps sont-elles conservées ? Quels sous-traitants y accèdent ? Que reste-t-il lors d’une résiliation ? Les réponses traversent DPO, IT, achats, métiers et fournisseurs.

La CNIL structure son guide de sécurité des données en 25 fiches, incluant pilotage, utilisateurs, habilitations, journalisation, sauvegarde, continuité, cloud, applications mobiles, IA et API. Cette largeur rappelle qu’un audit de données ne peut pas s’arrêter aux permissions d’une base. Il doit examiner le cycle de vie et les dépendances.

5.5. Détection, réponse et récupération

Une entreprise finit toujours par rencontrer un comportement anormal : connexion impossible, règle de transfert, alerte EDR, fournisseur indisponible, fichier chiffré, compte créé hors processus. La question porte sur la capacité à détecter, qualifier, décider, contenir, restaurer et apprendre.

La preuve la plus précieuse est souvent une restauration chronométrée. Une sauvegarde affichée en vert ne démontre ni son intégrité, ni le délai de reprise, ni l’ordre de restauration, ni la capacité à fonctionner sans réinjecter la compromission.

La protection réduit la probabilité. La récupération limite l’impact.

6. Le dossier de preuves à préparer

La mission coûte inutilement cher lorsque l’équipe passe ses premiers jours à chercher les propriétaires, obtenir des droits ou comprendre des exports contradictoires. Un dossier préparatoire améliore la couverture sans préjuger du verdict.

Tous les documents ne doivent pas être envoyés dans une archive non chiffrée. La convention précise le canal, les droits, la conservation et la destruction. L’auditeur devient temporairement dépositaire d’une cartographie sensible ; sa propre sécurité fait partie de la prestation.

7. Protocole recommandé : cinq mouvements, des tests au contre-test

Le protocole ci-dessous synthétise des pratiques d’audit publiques. Il ne constitue pas une méthode propriétaire Logiks et doit être adapté au référentiel, aux obligations et aux risques du commanditaire.

7.1. Mouvement 1 — Conventionner et rendre le test sûr

La lettre de mission décrit objectifs, critères, cibles, exclusions, sites, plages horaires, interlocuteurs, données accessibles, tests destructifs interdits, traitement des découvertes critiques et procédure d’arrêt. Les tests d’intrusion reçoivent des règles d’engagement spécifiques et une autorisation explicite.

Sortie attendue : personne ne découvre pendant l’intervention qu’un environnement de production, un fournisseur ou une donnée sensible se trouve dans le périmètre.

7.2. Mouvement 2 — Comprendre le système réel

Entretiens, documentation, architecture, contrats et historiques d’incident sont rapprochés. L’auditeur sélectionne un échantillon fondé sur la criticité et l’exposition : administrateurs, applications sensibles, filiales, sauvegardes, endpoints, fournisseurs et parcours financiers.

Point de passage : les écarts entre le système décrit et le système observé sont documentés avant les tests approfondis.

7.3. Mouvement 3 — Éprouver les contrôles

La démarche combine observation, inspection de configuration, reproduction limitée, scan, analyse et tests manuels. Une règle n’est pas considérée efficace parce qu’elle apparaît dans une politique ; elle doit laisser une trace observable dans le fonctionnement.

Exemples : retirer un compte de départ, restaurer un fichier puis un service, déclencher une alerte, vérifier une demande de changement de RIB, contrôler un token, examiner un rôle cloud, suivre un correctif critique, simuler l’indisponibilité d’un SaaS.

Condition d’acceptation : chaque conclusion importante repose sur une preuve reproductible ou signale clairement l’impossibilité d’en obtenir une.

7.4. Mouvement 4 — Trianguler et hiérarchiser

Une vulnérabilité, un actif et un scénario sont reliés. On apprécie l’impact sur confidentialité, intégrité, disponibilité, finances, personnes, obligations et réputation ; on examine ensuite exposition, vraisemblance, contrôles existants, détectabilité et capacité de reprise.

Signal de maturité : deux constats techniquement similaires peuvent recevoir des priorités différentes si l’actif, le chemin d’attaque ou la récupération diffère.

7.5. Mouvement 5 — Restituer, corriger et contre-tester

La restitution exécutive tranche les décisions et les risques acceptés. La session technique transmet les preuves et les modalités de correction. Le plan de remédiation nomme responsables, dépendances, échéances et critères de fermeture. Enfin, un contre-test vérifie les corrections importantes.

Clôture réelle : un ticket fermé n’est pas une preuve ; la correction doit être observée sans avoir créé une nouvelle faiblesse.

8. Classer les constats critiques sans fabriquer un top 50 arbitraire

Un score unique donne une illusion de précision. Le CVSS aide à décrire la sévérité technique de nombreuses vulnérabilités ; il ne connaît pas, à lui seul, la marge, la paie, les patients, le délai de restauration ou la dépendance à un fournisseur.

Nous recommandons une fiche de constat comportant :

1. l’actif et son propriétaire ;
2. le fait observé et la preuve ;
3. le scénario d’abus ou de défaillance ;
4. l’impact métier et les personnes concernées ;
5. l’exposition et les prérequis d’exploitation ;
6. les contrôles existants, leur détectabilité et leur limite ;
7. la capacité de récupération ;
8. la recommandation, son effort, ses dépendances et son risque résiduel ;
9. le responsable, l’échéance et le test de fermeture.

8.1. Une matrice de priorité lisible

Le nombre de constats critiques ne mesure pas la qualité de l’auditeur. Un bon rapport contient parfois peu de constats, tout en changeant une décision essentielle. À l’inverse, cent alertes non contextualisées risquent d’immobiliser l’équipe sans réduire le risque.

9. Livrables : ce qu’un rapport exploitable doit contenir

La livraison minimale comprend plusieurs niveaux de lecture.

• Une synthèse exécutive : scénarios majeurs, décisions, limites, risques acceptés et trajectoire.
• Le périmètre opposable : actifs inclus, exclusions, périodes, comptes, techniques et échantillons.
• La méthode et les limites : référentiels, outils, hypothèses, obstacles et qualité des preuves.
• Les constats détaillés : faits, captures ou exports protégés, reproduction, impact et recommandation.
• La cartographie des dépendances : fournisseurs, identités, données, actifs critiques et propriétaires.
• Le plan de remédiation : priorité, effort, responsable, échéance, dépendance et preuve de fermeture.
• Le registre des risques acceptés : motif, autorité, durée, contrôle compensatoire et date de revue.
• Le rapport de contre-test : corrections vérifiées, partielles, échouées ou non testables.

Les éléments sensibles gagnent à être séparés du rapport largement diffusé. Une preuve d’exploitation, un secret partiellement masqué ou un schéma détaillé ne doit pas circuler dans le même document que la synthèse du comité de direction.

10. Acteurs, fournisseurs et responsabilités

L’indépendance n’impose pas l’absence de dialogue. Elle exige que la conclusion ne dépende pas de la personne dont le dispositif est évalué et que les conflits soient rendus visibles.

11. Conseils Logiks : auditer les contrôles et la restauration, pas la conformité de façade

Nous défendons cinq choix de séquençage.

Commencez par le lundi matin le plus coûteux. Messagerie compromise, paie altérée, production arrêtée, CRM inaccessible, site détourné : le scénario révèle les actifs et les décisions plus vite qu’une liste abstraite de contrôles.

Demandez une preuve de restauration. Une politique de sauvegarde et un tableau vert rassurent. Une restauration chronométrée apprend. Elle révèle dépendances, comptes, ordre de reprise, données manquantes et capacité à travailler en mode dégradé.

Suivez les identités au-delà des salariés. Prestataires, comptes de service, connecteurs OAuth, robots, API et accès d’urgence concentrent des privilèges durables. Le départ d’un collaborateur n’est qu’un cas de révocation parmi d’autres.

Séparez fait, risque et recommandation. « La MFA n’est pas activée » décrit un fait. Le risque dépend du compte et du chemin d’abus. La recommandation doit ensuite considérer contraintes, méthodes disponibles, secours et déploiement. Mélanger les trois fabrique des prescriptions génériques.

Limitez la première vague. Cinq corrections structurantes, financées et contre-testées, valent davantage que cinquante recommandations attribuées à « l’IT ». Le plan doit réduire un scénario mesurable, pas seulement vider un tableau.

Notre position tient en une phrase : l’audit ne vaut pas par ce qu’il trouve, mais par la maîtrise qu’il rend possible.

12. Grille de décision : quel niveau d’audit commander ?

13. Huit signaux d’un audit fragile

1. Le devis promet un score avant d’avoir défini les actifs et scénarios.
2. Le périmètre mentionne « le système d’information » sans liste, environnement ni exclusion.
3. L’essentiel de la prestation consiste à lancer un scanner puis exporter ses résultats.
4. Aucun responsable métier n’est interrogé sur paiements, production, données ou continuité.
5. Les tests actifs ne disposent pas de règles d’engagement et d’une procédure d’arrêt.
6. Les preuves sensibles transitent par courriel ordinaire ou restent conservées sans durée définie.
7. Toutes les recommandations partent vers le même propriétaire et la même échéance.
8. Le rapport ne prévoit ni contradiction, ni acceptation du risque, ni contre-test.

Un neuvième signal mérite une attention particulière : l’auditeur conclut sur ce qu’il n’a pas pu observer sans transformer l’absence de preuve en limite explicite. L’incertitude n’est pas une faiblesse du rapport lorsqu’elle est honnête. Elle devient une faiblesse lorsqu’elle est cachée.

14. Plan de remédiation sur 90 jours

14.1. Jours 0 à 7 — Contenir ce qui ne peut pas attendre

• traiter les P0 et secrets exposés ;
• préserver les journaux et éléments de preuve ;
• désactiver les comptes orphelins évidents ;
• fermer les services Internet injustifiés ;
• vérifier les contacts de crise, assureur et prestataires ;
• informer direction, DPO ou autorités lorsque le cadre l’impose.

14.2. Jours 8 à 30 — Réduire les chemins d’attaque majeurs

• généraliser la MFA sur les comptes critiques et traiter les exceptions ;
• corriger les vulnérabilités exposées prioritaires ;
• tester la restauration des services essentiels ;
• sécuriser les changements de coordonnées bancaires ;
• revoir administrateurs, accès tiers et comptes de service ;
• nommer chaque risque, propriétaire et preuve de fermeture.

14.3. Jours 31 à 60 — Construire le socle organisationnel

• fiabiliser l’inventaire et la classification ;
• contractualiser les responsabilités des fournisseurs ;
• définir journalisation, alertes et escalade ;
• aligner rétention, données personnelles et sauvegardes ;
• documenter le mode dégradé et l’ordre de reprise ;
• former les équipes sur leurs décisions concrètes, pas avec un module générique.

14.4. Jours 61 à 90 — Vérifier et gouverner

• contre-tester les P1 et corrections structurantes ;
• conduire un exercice de crise sur table ;
• mesurer les délais de correction, révocation, détection et restauration ;
• faire accepter formellement les risques résiduels ;
• intégrer les contrôles récurrents au calendrier d’exploitation ;
• présenter à la direction les scénarios réduits, les inconnues et la prochaine revue.

15. FAQ

15.1. Combien coûte un audit de cybersécurité ?

Le prix dépend du périmètre, du nombre d’actifs, des types de tests, des accès, des déplacements, du référentiel, du niveau d’assurance, de la qualification requise et du contre-test. Un devis sérieux sépare cadrage, collecte, tests, restitution et vérification. Comparer uniquement un nombre de jours sans comparer la couverture et les livrables conduit à acheter des objets différents.

15.2. Combien de temps dure l’intervention ?

Comme repère opérationnel Logiks, une revue ciblée réclame souvent cinq à dix jours de travail répartis sur deux à trois semaines. Un audit PME couvrant organisation, technique, données et continuité s’étale plutôt sur deux à cinq semaines. Un périmètre multisite, applicatif ou réglementé dépasse facilement cette durée. Ces plages ne sont pas des moyennes de marché ; elles servent à planifier les accès, entretiens, tests et contradictions.

15.3. Quelle différence entre audit cyber et pentest ?

Le pentest cherche à démontrer des chemins d’attaque dans des règles précises. L’audit apprécie plus largement l’efficacité des contrôles techniques et organisationnels au regard d’un périmètre et de critères. Il inclut parfois un pentest ; ce dernier ne couvre généralement ni sauvegardes, ni contrats, ni gouvernance, ni capacité de crise.

15.4. Un audit prouve-t-il la conformité au RGPD ?

La prestation examine l’obligation de sécurité, les accès, les sous-traitants, la conservation et la gestion des violations. Elle ne prouve pas automatiquement la conformité complète de tous les traitements. La conformité RGPD couvre aussi finalités, bases légales, transparence, droits, minimisation et gouvernance documentaire.

15.5. Faut-il choisir un prestataire PASSI ?

Cela dépend du contexte. Certains contrats, réglementations ou niveaux de sensibilité peuvent exiger ou justifier une qualification. Le référentiel PASSI encadre le prestataire, son personnel et le déroulement des activités qualifiées. Si aucune obligation ne s’applique, ses catégories restent utiles pour comprendre les types d’audit, mais une prestation non qualifiée ne doit pas se présenter comme équivalente.

15.6. Peut-on réaliser l’audit en interne ?

Une autoévaluation prépare efficacement l’inventaire et les premières corrections. L’intervention indépendante apporte contradiction, comparaison, expertise spécialisée et crédibilité auprès de tiers. Pour les sujets très sensibles, combinez équipe interne, auditeur externe et expert métier ; documentez les conflits d’intérêts.

15.7. Que faut-il préparer avant le démarrage ?

Un sponsor, un périmètre, les processus critiques, l’inventaire disponible, les principaux contrats, les exports d’identités, les preuves de sauvegarde, les incidents passés et les interlocuteurs. N’attendez pas que tout soit parfait : l’absence ou l’incohérence d’une preuve constitue déjà une information, à condition de ne pas la masquer.

15.8. À quelle fréquence faut-il recommencer ?

La fréquence dépend du changement et du risque. Une revue annuelle risque d’être insuffisante si l’entreprise lance une application, migre vers le cloud, change de prestataire, acquiert une société, subit un incident ou renouvelle son architecture. Entre deux audits, suivez en continu les accès, actifs, vulnérabilités, sauvegardes et fournisseurs.

16. Conclusion

La démarche sérieuse ne termine pas par une couleur globale. Elle relie un actif à une preuve, une faiblesse à un scénario, un scénario à un impact, puis une correction à un propriétaire et un contre-test.

Cette chaîne change la conversation. La direction ne demande plus si l’entreprise est « sécurisée ». Elle choisit les interruptions qu’elle refuse, les données qu’elle doit protéger, les dépendances qu’elle accepte et les preuves qu’elle exige.

Ce n’est plus une photographie de conformité. C’est une architecture de maîtrise.

17. Sources principales

1. ANSSI — Panorama de la cybermenace 2025, publié le 11 mars 2026, consulté le 13 juillet 2026.
2. CNIL — Rapport annuel 2025, publié le 18 mai 2026, consulté le 13 juillet 2026.
3. Cybermalveillance.gouv.fr — Rapport d’activité et état de la menace 2025, publié le 26 mars 2026, mis à jour le 8 juin 2026.
4. Cybermalveillance.gouv.fr — Principales cybermalveillances visant les professionnels en 2025, publié en 2026, consulté le 13 juillet 2026.
5. Direction générale des Entreprises — Baromètre France Num 2025, enquête de juin 2025, consultée le 13 juillet 2026.
6. Verizon — Data Breach Investigations Report 2026, publié en juin 2026, consulté le 13 juillet 2026.
7. ANSSI — Mise à jour des référentiels PASSI version 2.2 et PRIS version 3.0, référentiel PASSI version 2.2 du 1er août 2024, consulté le 13 juillet 2026.
8. NIST — Cybersecurity Framework 2.0, publié en février 2024, consulté le 13 juillet 2026.
9. CNIL — Guide de la sécurité des données personnelles, édition 2024, consulté le 13 juillet 2026.