Audit cybersécurité et analyse de risques en Corse
Un audit cybersécurité est un état des lieux structuré de vos outils, de vos accès et de vos pratiques. Il mesure vos risques informatiques et les classe par priorité. Nous le menons depuis Bastia pour des PME, des startups ou des organismes publics, puis nous le traduisons en un plan d'action réaliste, à la mesure de vos moyens.
Audit de sécurité, analyse de risques, diagnostic, de quoi parle-t-on ?
Ces trois termes désignent des démarches voisines, de profondeur différente. Le diagnostic sécurité est une première photographie, rapide, qui repère les faiblesses les plus visibles et ce qu'il faut faire d'urgence.
L'audit de sécurité va plus loin. Il passe en revue la configuration de vos postes et de vos serveurs, votre réseau, vos comptes, vos sauvegardes et vos sites, sans oublier vos habitudes de travail. Chaque point est comparé à des recommandations reconnues, comme celles de l'ANSSI, l'agence nationale chargée de la cybersécurité.
L'analyse de risques informatiques part de votre activité, pas de la technique. Elle identifie ce qui compte le plus pour vous (vos données clients, votre facturation, votre site de vente), ce qui pourrait leur arriver et avec quelle gravité. C'est elle qui dit où investir en premier.
Contrairement au test d'intrusion, l'audit n'essaie pas d'exploiter les failles. Il regarde votre organisation dans son ensemble, pour en mesurer les risques.
Quand un audit cybersécurité devient utile
- 01
Vous n'avez jamais fait le point
Votre informatique s'est construite au fil des ans, avec plusieurs prestataires successifs. Personne n'en a une vue d'ensemble.
- 02
Votre activité grandit
De nouveaux collaborateurs, du télétravail, un deuxième établissement, de nouveaux logiciels en ligne. À chaque changement, il y a plus d'accès à surveiller.
- 03
Un questionnaire vous est adressé
Un client, un acheteur public ou un assureur vous demande de décrire vos mesures de sécurité. Vous voulez répondre juste.
- 04
Après un incident
Une fois la situation revenue à la normale, l'audit aide à comprendre ce qui a rendu l'incident possible, pour qu'il ne se reproduise pas.
Analyse de risques informatiques, exemples selon votre secteur
- 01
Commerces et artisans
La caisse, le logiciel de facturation, la messagerie, les sauvegardes. Ce qui compte d'abord, c'est de pouvoir continuer à travailler sans perdre vos données.
- 02
Hôtellerie et tourisme
Logiciel de réservation, Wi-Fi des clients, paiements. Il faut séparer ce qui est ouvert au public de ce qui doit rester interne.
- 03
Cabinets et professions réglementées
Dossiers clients ou patients, secret professionnel, obligations du RGPD. Ici, la confidentialité passe avant le reste.
- 04
Startups
Services en ligne, accès des développeurs, données des utilisateurs. Poser de bonnes bases dès le départ évite des corrections coûteuses plus tard.
- 05
Collectivités et organismes publics
Données des usagers, continuité du service public, sites et agents nombreux. L'analyse aide à trier des besoins qui partent dans tous les sens.
Les étapes d'un audit de sécurité informatique
Comme pour toute mission de cybersécurité, vous autorisez au préalable, par écrit, le périmètre et les vérifications techniques prévues.
- 01
Comprendre
Des entretiens avec la direction et les personnes clés, pour cerner votre activité, vos outils et vos prestataires. Et ce que vous redoutez le plus.
- 02
Inventorier
On recense les équipements et les logiciels, les comptes, les données, les accès extérieurs. Ce simple inventaire fait souvent remonter des oublis.
- 03
Examiner
Nous passons en revue les configurations et les droits d'accès, l'état des mises à jour, les sauvegardes, la messagerie. À distance ou sur place, en Haute-Corse comme ailleurs.
- 04
Évaluer
Chaque risque est jugé selon sa probabilité et son impact sur votre activité, dans l'esprit des méthodes publiées par l'ANSSI.
- 05
Restituer
Nous présentons les résultats en langage clair et vous remettons le plan d'action, priorités comprises.
Ce que vous recevez à l'issue du diagnostic sécurité
- 01
Une synthèse pour la direction
Quelques pages, écrites pour être lues, qui résument votre niveau d'exposition et les décisions à prendre.
- 02
Une cartographie
Une vue simple de vos systèmes, de vos données et des liens entre eux. Elle sert bien au-delà de la sécurité.
- 03
Un registre des risques
La liste des risques identifiés avec leur gravité, et les mesures qui permettent de les réduire.
- 04
Un plan d'action priorisé
D'abord les mesures rapides, à appliquer tout de suite. Ensuite les chantiers à planifier, chacun avec l'effort à prévoir.
- 05
Et ensuite
Vous restez libre de mettre le plan en œuvre avec vos équipes, avec votre prestataire habituel ou avec nous, dans une mission de durcissement et de remédiation. Un point de suivi, à la date que vous choisissez, permet de voir le chemin parcouru.
Réussir son audit, les points à vérifier
- 01
Un périmètre clair
Toute l'entreprise ou un seul site, l'informatique interne seule ou les services en ligne avec. Dans tous les cas, le périmètre doit être écrit noir sur blanc.
- 02
Les bonnes personnes disponibles
Un audit repose sur des entretiens. Prévoyez du temps pour la direction, et pour celles et ceux qui se servent des outils tous les jours.
- 03
Vos prestataires informés
Votre infogérant, votre hébergeur ou l'éditeur de vos logiciels détiennent parfois des informations indispensables. Mieux vaut les prévenir.
- 04
Des recommandations à votre mesure
Un plan qui suppose le budget d'un grand groupe ne sera jamais appliqué. Exigez des priorités qui correspondent à votre taille.
- 05
La confidentialité du rapport
Il décrit vos points faibles. Gardez-le en lieu sûr et ne le diffusez qu'à peu de personnes.
Ce qui détermine le coût d'un audit cybersécurité
Le devis est établi après un premier échange, une fois le périmètre défini. Il dépend surtout des éléments suivants.
- 01
La taille de l'organisation
Le nombre de postes et de serveurs, d'utilisateurs, de sites géographiques.
- 02
La profondeur de l'analyse
Un diagnostic rapide, un audit complet ou une analyse de risques détaillée.
- 03
Le nombre d'entretiens
Il dépend du nombre de services et de personnes à rencontrer.
- 04
Les déplacements
Travail à distance ou présence dans vos locaux, en Corse ou sur le continent.
- 05
Les vérifications techniques
Une revue de configuration seule, ou complétée par des tests ciblés et autorisés sur certains systèmes.
Technologies et méthodes
- Analyse de risques
- Recommandations de l'ANSSI
- Audit de configuration
- Cartographie du SI
- Plan d'action priorisé
Questions fréquentes
Quelle différence entre un audit et un test d'intrusion ?
L'audit examine toute votre organisation, technique et pratiques comprises, pour mesurer les risques. Le test d'intrusion se concentre sur un périmètre précis et vérifie, par des attaques simulées et autorisées, ce qui est réellement exploitable. Les deux se complètent.
Faut-il avoir un service informatique pour réaliser un audit ?
Non. L'audit est pensé pour les structures qui n'en ont pas. Il suffit d'une personne qui connaît vos outils au quotidien et, si vous en avez, des coordonnées de vos prestataires.
L'audit va-t-il perturber notre activité ?
Très peu. Les entretiens sont planifiés avec vous. Quant aux vérifications techniques, elles consistent pour la plupart à lire des configurations, sur des créneaux convenus.
L'audit nous rend-il conformes au RGPD ?
Pas à lui seul. Il couvre la sécurité des données, qui est l'une des obligations du RGPD, alors que la conformité comprend aussi des aspects juridiques et organisationnels. Nos constats vous aident en revanche à documenter vos mesures de sécurité.
Que se passe-t-il si vous découvrez une faille grave pendant l'audit ?
Nous vous prévenons immédiatement, sans attendre le rapport final, et nous vous indiquons la mesure de protection à prendre en premier.