« Nous avons besoin d’un audit » reste une demande trop vague pour comparer des devis. Votre objectif peut être de comprendre une infrastructure, contrôler ses configurations ou vérifier l’organisation. Écrivez d’abord la question à laquelle la mission doit répondre : « Quels défauts risquent de bloquer notre activité, et dans quel ordre les corriger ? »
Quand le prévoir ?
Après un premier inventaire, lancez l’audit du périmètre prioritaire. Il peut aussi être nécessaire avant une transformation importante ou à la suite d’un incident. Si une compromission est suspectée, précisez-le : une investigation et une réponse à incident répondent à un autre besoin qu’un audit ordinaire.
Audit, scan et pentest : des résultats différents
Un audit d’architecture examine la conception et les interconnexions. Un audit de configuration regarde les paramètres effectivement appliqués. L’audit organisationnel étudie les responsabilités et procédures. Un scan automatisé recherche des faiblesses connues ; le test d’intrusion explore, dans un cadre autorisé, des possibilités d’attaque. Le référentiel PASSI distingue plusieurs de ces activités 1, 2.
Le scan constitue un outil possible de la mission. Demandez comment le prestataire vérifiera les alertes et les reliera aux enjeux métier. Une liste de vulnérabilités sans contexte laisse encore tout le travail de décision à votre équipe.
Comment formuler le cahier des charges ?
Décrivez les sites, comptes cloud, postes, serveurs et applications concernés. Précisez les exclusions, les accès fournis, les contraintes de production et la confidentialité attendue. Demandez les compétences des intervenants et un exemple de rapport anonymisé.
Écrivez vos critères de réception : réunion de lancement, collecte des preuves, points d’avancement, synthèse de direction, constats techniques et restitution. Le rapport doit aussi mentionner ce qui n’a pas pu être vérifié. Une conclusion générale ne permet pas de connaître les limites du travail réalisé.
Par qui ?
Choisissez un spécialiste capable d’expliquer sa méthode et de démontrer une expérience correspondant à votre environnement. La qualification PASSI porte sur des services et activités déterminés ; elle ne constitue pas une obligation universelle pour toute PME. Le label ExpertCyber et son service de mise en relation répondent à une autre démarche : ne confondez pas les dispositifs 1, 3.
Pour comparer, faites chiffrer le même périmètre et les mêmes livrables. Demandez également qui effectuera les corrections et comment leur efficacité sera vérifiée.
Quel budget approximatif ?
Simulation, pas prix constaté : trois à cinq jours à 900 € HT par jour représenteraient 2 700 à 4 500 € HT pour une mission de périmètre limité. Ce calcul illustre le mécanisme du devis, sans présumer du temps nécessaire chez vous. Les déplacements, investigations complexes et corrections peuvent être exclus.
Ce qui montre que l’audit a servi
Chaque constat important doit rejoindre un plan indiquant impact, responsable, correction attendue, échéance et preuve de clôture. Gardez une ligne « risque accepté » pour les décisions assumées et datées de la direction. L’audit devient alors un point de départ mesurable. La prochaine étape consiste à formaliser les règles et responsabilités dans une PSSI adaptée à l’entreprise.