Résumé pour les pressés
- Un audit de sécurité informatique, c’est un état des lieux complet de votre SI : technique, organisationnel et humain.
- Les PME représentent 48 % des victimes de ransomware en France selon l’ANSSI (Panorama 2025): et la plupart n’avaient jamais fait d’audit.
- Un audit PME coûte entre 2 000 € et 8 000 € selon le périmètre. Une cyberattaque coûte en moyenne 50 000 € à 300 000 €.
- Il se déroule en 5 étapes : cadrage → collecte → analyse → rapport → plan d’action.
- La fréquence recommandée : une fois par an minimum, et après tout changement majeur.
Votre réseau tourne depuis 3 ans sans qu’on y ait vraiment touché. Les mots de passe n’ont pas changé depuis… personne ne s’en souvient ! Et votre sauvegarde… vous espérez qu’elle fonctionne, mais vous n’avez jamais testé la restauration.
Vous pensez que tout va bien. Mais est-ce vraiment le cas ?
C’est exactement la situation que nous retrouvons chez la majorité des PME que nous auditons. Pas de négligence: juste un manque de visibilité. Et c’est précisément à ça que sert un audit de sécurité informatique.
Ce que révèle vraiment un audit de sécurité informatique
La définition simple
Un audit de sécurité informatique, c’est un examen méthodique de votre système d’information : vos postes de travail, vos serveurs, votre réseau, vos applications, vos politiques de sécurité et les pratiques de vos collaborateurs.
L’objectif ? Identifier les failles, mesurer le niveau de risque réel, et produire un plan d’actions priorisé.
Ce n’est pas un contrôle policier. C’est plus proche du contrôle technique de votre voiture : on ne le fait pas parce que la voiture est en panne, mais pour éviter qu’elle le soit.
Un audit couvre trois dimensions :
- Technique : infrastructure, réseau, postes, serveurs, cloud, configurations
- Organisationnelle : politiques de sécurité, gestion des droits d’accès, procédures internes
- Humaine : sensibilisation des collaborateurs, comportements face au phishing, réflexes en cas d’incident
Ce qu’on trouve dans 90 % des PME auditées
Chez ASAP, nous intervenons régulièrement sur des PME franciliennes et françaises de 10 à 1500 salariés. Voici ce que nous trouvons presque systématiquement :
- Des comptes administrateurs partagés entre plusieurs personnes (impossible de savoir qui a fait quoi)
- Des mots de passe faibles ou identiques sur plusieurs services critiques
- Des sauvegardes non testées: la restauration n’a jamais été vérifiée
- Des postes non mis à jour depuis plusieurs mois, parfois plus d’un an
- Un pare-feu d’entreprise mal configuré ou dont les règles n’ont pas été revues depuis l’installation
- Des accès VPN d’anciens salariés toujours actifs
87% des PME auditées par ASAP présentent au moins une faille critique
Ce n’est pas une question de budget ou de taille. C’est une question de visibilité. Ces failles existent parce que personne ne les a cherchées.
Le mot de passe par défaut du constructeur aurait suffit à tout compromettre
Lors d’un audit chez une PME francilienne, nous avons accédé en quelques secondes à l’interface d’administration du switch réseau central. Mot de passe utilisé, celui par défaut : 1234 — jamais changé depuis l’installation, dix ans plus tôt.
Depuis cette interface, n’importe qui sur le réseau local aurait pu intercepter tout le trafic, prendre le contrôle des équipements et atteindre le NAS contenant l’ensemble des données de l’entreprise. Sans firewall, sans segmentation réseau, et avec une sauvegarde hors ligne depuis un an, les conséquences auraient été désastreuses.
La correction a pris quelques minutes : un nouveau mot de passe fort pour un accès restreint au poste d’administration. D’autres actions menées en parallèle, ont permis de sécuriser l’ensemble du réseau.
Matthieu Walckenaer
Le risque est réel. Selon le Panorama de la cybermenace 2025 de l’ANSSI, les PME, TPE et ETI représentent 48 % des victimes d’attaques par ransomware: la catégorie la plus touchée. Et selon le baromètre Cybermalveillance.gouv.fr 2025, 43 % des TPE-PME ont subi une attaque par hameçonnage: contre 24 % l’année précédente.
Une attaque ransomware peut paralyser une PME en quelques heures. L’audit, c’est ce qui permet de fermer les portes avant que quelqu’un ne les pousse.
Audit de sécurité vs test d’intrusion : quelle différence ?
C’est une question qu’on nous pose souvent.
| Critère | Audit de sécurité | Test d'intrusion (pentest) |
|---|---|---|
| Périmètre | Large : technique + organisationnel + humain | Ciblé : tentative d'intrusion simulée |
| Approche | Analyse et évaluation | Attaque contrôlée |
| Résultat | Cartographie des risques + plan d'action | Preuves de failles exploitables |
| Pour qui | Toutes les PME, en premier audit | PME avec une maturité sécurité existante |
| Durée | 3 à 10 jours | 5 à 15 jours |
En résumé : l’audit vient avant le pentest. On commence par comprendre l’état général du SI, puis on peut simuler une attaque pour tester les défenses. Pour une PME qui n’a jamais fait d’audit, commencer par un pentest, c’est mettre la charrue avant les bœufs.
Les 5 étapes d’un audit de sécurité informatique
1. Le cadrage (périmètre, objectifs, durée)
Avant de commencer, on définit ce qu’on audite et pourquoi.
Tout le SI ? Seulement le réseau et les accès distants ? Les postes de travail uniquement ? Le périmètre dépend de vos enjeux : préparation NIS2, renouvellement d’assurance cyber, suite à un incident, ou simple bilan annuel.
Cette étape détermine aussi la durée et le budget. Pour une PME de 20 à 50 postes, un audit complet (technique + organisationnel) prend généralement 3 à 5 jours.
2. La collecte d’informations (inventaire, entretiens)
L’auditeur dresse un inventaire complet de votre parc : postes, serveurs, équipements réseau, applications métier, accès cloud (Microsoft 365, etc.), connexions VPN.
Des entretiens sont menés avec les personnes clés : dirigeant, responsable IT, utilisateurs représentatifs. On cherche à comprendre les usages réels, pas seulement la théorie.
Sans cartographie précise, impossible de savoir ce qui est exposé.
3. L’analyse des vulnérabilités (technique + organisationnelle)
C’est le cœur de l’audit. On analyse :
- Les configurations réseau et les règles de sécurité informatique externalisée
- Les versions logicielles et les correctifs manquants
- Les droits d’accès et la gestion des identités
- Les politiques de mots de passe
- Les procédures de sauvegarde et de restauration
- La sensibilisation des équipes
Des outils de scan de vulnérabilités sont utilisés, mais l’analyse humaine reste indispensable. Un outil ne détecte pas qu’un collaborateur utilise le même mot de passe partout, ou qu’une procédure critique n’est jamais appliquée.
4. Le rapport et les recommandations
L’auditeur produit un rapport structuré comprenant :
- Un résumé exécutif (lisible par un non-technicien)
- La liste des vulnérabilités identifiées, classées par niveau de criticité
- Des recommandations concrètes et priorisées
- Une restitution orale pour expliquer les enjeux en langage clair
Un bon rapport, c’est un document que le dirigeant peut lire et comprendre: pas un catalogue de jargon technique de 80 pages.
5. Le plan d’action et le suivi
L’audit ne s’arrête pas au rapport. Il débouche sur un plan d’action priorisé : quoi corriger en urgence, quoi planifier à 3 mois, quoi intégrer dans la roadmap annuelle.
Le suivi est essentiel. Certaines corrections prennent quelques heures (changer un mot de passe administrateur, désactiver un accès obsolète). D’autres nécessitent un projet plus structuré.
Ce qu’un audit de sécurité examine concrètement
L’infrastructure réseau et les accès
Le réseau, c’est souvent là que les failles les plus critiques se cachent.
L’audit examine la configuration du pare-feu d’entreprise, la segmentation réseau (est-ce que tout le monde a accès à tout ?), les règles de filtrage, les accès distants (VPN, RDP), et les équipements en bordure de SI.
L’ANSSI le souligne dans son Panorama 2024 : plus de la moitié de ses opérations de cyberdéfense ont eu pour origine l’exploitation de vulnérabilités sur des équipements de sécurité en bordure de SI: pare-feux et passerelles VPN en tête.
Les postes de travail et les endpoints
Chaque poste de travail est une porte d’entrée potentielle.
On vérifie : les versions de systèmes d’exploitation, les mises à jour en retard, les logiciels installés (y compris ceux dont personne ne se souvient), les droits administrateurs locaux, et la présence de solutions de protection endpoint.
Un poste non mis à jour depuis 6 mois peut contenir des dizaines de vulnérabilités connues et exploitables en quelques minutes.
Les sauvegardes et la continuité d’activité
C’est le point qui fait le plus peur aux dirigeants: et à raison.
L’audit vérifie non seulement l’existence des sauvegardes, mais surtout leur fonctionnement réel : fréquence, périmètre couvert, durée de rétention, et surtout la capacité à restaurer dans un délai acceptable.
Une sauvegarde qui n’a jamais été testée en restauration, c’est une sauvegarde dont on ne sait pas si elle fonctionne. Nous testons systématiquement la restauration lors de nos audits.
L’audit intègre aussi l’évaluation du plan de reprise d’activité (PRA) et des procédures de sauvegarde informatique en entreprise : existe-t-il ? Est-il documenté ? A-t-il été testé ?
Les pratiques humaines et la sensibilisation
Le facteur humain reste le vecteur d’attaque numéro un. Selon le baromètre Cybermalveillance 2025, 43 % des cyberattaques déclarées par les TPE-PME passent par l’hameçonnage.
L’audit évalue :
- Le niveau de sensibilisation des collaborateurs
- Les comportements face aux emails suspects
- La gestion des mots de passe au quotidien
- Les pratiques liées à la sécurisation du télétravail
- L’existence d’une charte informatique
On ne cherche pas à piéger les collaborateurs. On cherche à comprendre les usages réels pour adapter les recommandations.
La conformité RGPD et réglementaire
L’article 32 du RGPD impose des mesures de sécurité appropriées pour protéger les données personnelles. En cas de contrôle CNIL ou de violation de données, l’absence d’audit aggrave significativement la situation.
L’audit vérifie :
- La cartographie des données personnelles traitées
- Les mesures techniques en place pour les protéger
- Les procédures de notification en cas d’incident
- La conformité aux exigences NIS2 si votre secteur est concerné
Un audit documenté constitue une preuve de bonne foi en cas de contrôle. Les assureurs cyber l’exigent de plus en plus pour accepter de couvrir les risques.
Combien coûte un audit de sécurité informatique pour une PME avec Asap ?
Les facteurs qui font varier le prix
Il n’y a pas de tarif unique. Le prix dépend de plusieurs variables :
| Facteur | Impact sur le prix |
|---|---|
| Nombre de postes et serveurs | Principal déterminant |
| Périmètre (réseau seul, SI complet, cloud inclus) | +++ si multi-domaines |
| Présence de plusieurs sites | +0,5 à 1 jour par site supplémentaire |
| Inclusion d'un test d'intrusion | +3 000 € à 8 000 € |
| Volet conformité RGPD/NIS2 | +1 à 2 jours |
| Complexité du SI (legacy, ERP spécifique) | Variable |
Les fourchettes de prix observées sur le marché français en 2026 :
- Diagnostic rapide (1-2 jours, périmètre limité) : 1 500 € à 3 000 €
- Audit standard (3-5 jours, technique + organisationnel, sans pentest) : 3 000 € à 8 000 €
- Audit avancé (avec test d’intrusion, 5-10 jours) : 6 000 € à 15 000 €
Pour une PME de 20 à 50 postes, l’audit standard est généralement le bon niveau de départ.
Ce que ça coûte de ne PAS faire d’audit
Le vrai calcul, c’est celui-là.
Coût d’un audit standard : 3 000 € à 8 000 €
Coût moyen d’une cyberattaque pour une PME : 50 000 € à 300 000 € (frais techniques, perte d’exploitation, frais juridiques, impact réputationnel)
Même l’audit le plus complet représente moins de 5 % du coût moyen d’un incident. Et ce calcul ne prend pas en compte l’interruption d’activité, qui peut durer plusieurs semaines en cas de ransomware.
6 entreprises sur 10 ne sauraient pas évaluer les conséquences d’une cyberattaque, selon le baromètre Cybermalveillance 2025. C’est précisément ce que l’audit permet de quantifier : avant que l’incident ne se produise.
L’audit est également une charge d’exploitation déductible du résultat imposable. Et dans certaines régions (dont l’Île-de-France), des subventions existent pour financer le premier audit.
Audit interne vs audit externalisé : que choisir ?
La réalité dans les PME de 10 à 200 salariés : il n’y a généralement pas de ressource interne avec le niveau d’expertise et le temps disponible pour mener un audit sérieux.
L’infogérance informatique pour PME intègre souvent un suivi sécurité continu: mais ça ne remplace pas un audit annuel indépendant. Les deux sont complémentaires.
Externaliser son infogérance permet d’avoir un prestataire qui connaît votre SI en profondeur et peut déclencher un audit dès qu’un changement majeur l’impose.
À quelle fréquence faire un audit de sécurité ?
La réponse courte : une fois par an minimum.
C’est la recommandation de l’ANSSI et des assureurs cyber. Un audit annuel permet de détecter les nouvelles vulnérabilités, de vérifier que les corrections précédentes ont bien été appliquées, et de s’adapter aux évolutions du SI.
Mais certains événements imposent un audit immédiat, sans attendre l’échéance annuelle :
- Déménagement ou refonte de l’infrastructure réseau
- Adoption du cloud ou migration vers Microsoft 365 / Azure
- Départ d’un collaborateur ayant des accès sensibles
- Incident de sécurité (même mineur)
- Signature d’un nouveau contrat avec un client imposant des exigences de sécurité
- Souscription ou renouvellement d’une assurance cyber
Un audit tous les 18 mois, c’est déjà mieux que rien. Mais dans un contexte où les menaces évoluent vite: le nombre d’incidents confirmés traités par l’ANSSI est resté stable à 1 366 en 2025 après une hausse de 15 % en 2024: l’annualité est devenue la norme raisonnable pour une PME.
Ce qu’ASAP fait concrètement lors d’un audit
Notre approche terrain
Chez ASAP, nous intervenons sur des PME et ETI depuis plusieurs années. Notre approche d’audit de sécurité informatique est structurée, mais elle n’est pas rigide. On s’adapte à votre contexte, votre taille, votre secteur.
Voici comment ça se passe concrètement :
- Appel de cadrage (30 min) : on définit ensemble le périmètre, les priorités, les contraintes opérationnelles
- Collecte documentaire : inventaire du parc, schéma réseau existant, politiques de sécurité en place
- Intervention sur site (ou à distance selon le périmètre) : scans techniques, entretiens avec les utilisateurs clés, vérification des configurations
- Rapport structuré : résumé exécutif + détail technique + plan d’action priorisé
- Restitution orale : on explique les résultats en langage clair, sans jargon
Durée typique pour une PME de 20 à 1 500 postes : 3 à 9 jours.
Le diagnostic Flash ASAP (7 jours)
Vous n’êtes pas prêt à vous lancer dans un audit complet ? Nous proposons un diagnostic Flash en 7 jours : un premier état des lieux ciblé sur les risques les plus critiques, rédaction et présentation d’un rapport détaillé et de toutes les recommandations prioritaires.
C’est le bon point d’entrée pour une PME qui n’a jamais fait d’audit et veut comprendre où elle en est avant d’investir davantage.
Un réseau WiFi que personne ne savait actif
Lors d’un audit, notre expert a détecté un signal WiFi diffusé en permanence dans les locaux. Le client n’en avait aucune connaissance.
L’équipement responsable : un routeur 4G installé en secours fibre, censé s’activer uniquement en cas de coupure internet. Il était branché en continu et diffusait un réseau ouvert à tous — avec le mot de passe imprimé au dos de l’appareil, visible par n’importe quel employé ou visiteur.
N’importe qui à portée du signal pouvait se connecter, accéder à internet via le réseau de l’entreprise, et tenter d’atteindre les ressources internes. Sans firewall, sans journal d’accès, sans que personne ne soit alerté.
Asap vous accompagne dans votre cybersécurité !
Vous voulez savoir où en est votre PME ? Découvrez notre offre d’audit informatique PME ou demandez à être rappelé pour un échange sans engagement.
L’audit de sécurité, un investissement, pas une dépense
On entend souvent : “On n’a pas le budget pour ça.”
Mais la vraie question, c’est : avez-vous le budget pour ne pas le faire ?
Une PME sur deux ne sait pas évaluer les conséquences d’une cyberattaque. Celles qui ont fait un audit, elles le savent. Et elles dorment mieux.
L’audit de sécurité informatique, c’est le seul moyen d’avoir une photographie en temps réel de votre exposition aux risques. Pas ce que vous pensez avoir mis en place : ce qui fonctionne vraiment, et ce qui ne fonctionne pas.
FAQ: Audit de sécurité informatique
Qu'est-ce qu'un audit de sécurité informatique ?
Un audit de sécurité informatique est un examen méthodique de l’ensemble du système d’information d’une entreprise : postes de travail, serveurs, réseau, applications, politiques de sécurité et pratiques des utilisateurs. Il vise à identifier les vulnérabilités, mesurer le niveau de risque réel, et produire un plan d’actions priorisé. Il couvre trois dimensions : technique, organisationnelle et humaine.
Quelles sont les étapes d'un audit de sécurité ?
Un audit de sécurité se déroule en 5 étapes : (1) le cadrage: définition du périmètre et des objectifs ; (2) la collecte d’informations: inventaire du parc et entretiens ; (3) l’analyse des vulnérabilités: technique et organisationnelle ; (4) le rapport et les recommandations: avec résumé exécutif et plan d’action ; (5) le suivi de la mise en œuvre des corrections. La durée totale varie de 3 à 10 jours pour une PME selon le périmètre.
Combien coûte un audit de sécurité informatique ?
Pour une PME, les tarifs observés sur le marché français en 2026 sont : diagnostic rapide (1-2 jours) entre 1 500 € et 3 000 €, audit standard (3-5 jours, technique + organisationnel) entre 3 000 € et 8 000 €, audit avancé avec test d’intrusion entre 6 000 € et 15 000 €. Le prix varie selon le nombre de postes, le périmètre couvert, la présence de plusieurs sites et les exigences réglementaires. À comparer avec le coût moyen d’une cyberattaque : 50 000 € à 300 000 € pour une PME.
Quelle est la différence entre un audit de sécurité et un test d'intrusion ?
L’audit de sécurité est une évaluation large : il couvre les dimensions technique, organisationnelle et humaine, et produit une cartographie complète des risques. Le test d’intrusion (pentest) est plus ciblé : il simule une attaque réelle pour identifier des failles exploitables concrètes. L’audit vient généralement en premier: il donne la vue d’ensemble. Le pentest vient ensuite, pour tester les défenses en conditions réelles. Pour une PME sans audit préalable, commencer par un pentest n’a pas de sens.
À quelle fréquence faire un audit de sécurité informatique ?
La recommandation standard est une fois par an minimum. Certains événements imposent un audit immédiat sans attendre : refonte de l’infrastructure, départ d’un collaborateur avec accès sensibles, incident de sécurité, migration cloud, renouvellement d’assurance cyber, ou nouveau contrat client avec exigences de sécurité. Dans un contexte où les menaces évoluent rapidement, l’annualité est devenue la norme pour les PME.
