Conseil indépendant · Systèmes & cybersécurité
Audit cybersécurité et infrastructure pour TPE et PME
Obtenez une vision factuelle de l'exposition de vos systèmes, réseaux et services, puis un plan de remédiation compréhensible et priorisé.
- TPE, PME & équipes IT
- France entière à distance
- Périmètre et livrables définis
Votre contexte
Pourquoi engager cette mission ?
Un audit est pertinent avant une migration, après un incident, à la demande d'un client ou d'un assureur, ou simplement lorsque personne ne peut expliquer avec certitude ce qui est exposé et sauvegardé.
L'objectif n'est pas d'empiler des outils ou de produire un rapport générique. Les choix sont reliés à vos services critiques, à votre capacité d'exploitation et au niveau de risque acceptable.
Points analysés et travaillés
- Cartographie des actifs, flux et dépendances critiques
- Revue des accès, privilèges, comptes techniques et authentification
- Analyse des services exposés, pare-feu, VPN, DNS, TLS et WAF
- Contrôle du durcissement Linux, des correctifs et des configurations sensibles
- Vérification des sauvegardes, restaurations, journaux et capacités de reprise
Principe
Que comprend un audit de cybersécurité ?
Un audit de cybersécurité vérifie, configuration par configuration, ce qui protège réellement vos systèmes et ce qui les expose. Il ne se résume pas à un scan automatique : les résultats des outils sont vérifiés, puis replacés dans votre contexte métier.
Il couvre quatre axes : l'exposition vue d'Internet, les accès et privilèges, la configuration des systèmes et du réseau, et la capacité à restaurer après un incident.
Périmètre
Quels systèmes peuvent être audités ?
Le périmètre se fixe au cadrage, selon vos priorités et votre budget. Il peut couvrir l'ensemble du système d'information ou se concentrer sur ce qui porte l'activité : un serveur exposé, l'accès distant et le chemin d'administration, la plateforme de virtualisation ou les sauvegardes.
Un audit de configuration peut aussi cibler une seule brique, par exemple un serveur Linux ou une plateforme Proxmox, avant une mise en production ou une migration.
Périmètres possibles
- Serveurs Linux et services hébergés
- Hyperviseurs et environnements virtualisés
- Réseau, VLAN, pare-feu et VPN
- Exposition Internet, DNS, TLS, reverse proxy et WAF
- Authentification, comptes et accès d'administration
- Sauvegardes, restauration et supervision
Déroulement
Comment se déroule un audit ?
Après un échange de cadrage, le périmètre, les accès nécessaires et le calendrier sont fixés par écrit. La collecte se fait à distance : lecture des configurations et des journaux, contrôles non intrusifs depuis l'extérieur et échanges courts avec les personnes qui exploitent les systèmes.
Les tests susceptibles de perturber un service sont annoncés et planifiés avec vous. L'audit se termine par une restitution, pour expliquer les constats et répondre aux questions, et par la remise du rapport.
Durée
Combien de temps dure un audit ?
La durée dépend du périmètre : nombre de serveurs, de sites et de services exposés, disponibilité des accès et de la documentation. Un audit ciblé sur quelques serveurs n'a rien de comparable avec la revue complète d'un système d'information multi-sites.
Une estimation est donnée après le cadrage, avant tout engagement, puis le calendrier est tenu à jour si le périmètre évolue.
Budget
Combien coûte un audit ?
Le prix découle du périmètre et de la profondeur d'analyse attendue. Les principaux facteurs sont le nombre de systèmes, la présence de contrôles externes, le niveau de détail du rapport et l'accompagnement souhaité ensuite.
Un devis est établi après l'échange de cadrage, sans engagement. Décrivez votre contexte pour recevoir une première estimation.
Après l'audit
L'audit comprend-il les corrections ?
L'audit livre le constat et le plan d'actions. Les corrections peuvent ensuite être réalisées par votre équipe, ou par moi dans la continuité de l'audit, selon ce qui est convenu au cadrage.
Dans les deux cas, une vérification après correction confirme que chaque mesure produit l'effet attendu. Pour un suivi dans la durée, l'infogérance prend le relais.
Exemple de rapport
À quoi ressemble un constat d'audit ?
Exemple fictif, construit à partir de constats fréquents, pour montrer la forme d'un constat dans le rapport remis.
Constat : l'interface d'administration de l'hyperviseur est joignable depuis Internet et protégée par un simple mot de passe. Le compte utilisé est partagé entre deux prestataires.
Risque : un mot de passe deviné ou réutilisé donne la main sur toutes les machines hébergées, sauvegardes comprises, sans qu'on puisse savoir qui s'est connecté.
Criticité : élevée. L'exposition est directe, l'impact touche tous les services et la correction demande peu d'effort.
Correction proposée : fermer l'accès public, n'autoriser l'administration que par VPN ou par un bastion, créer un compte nominatif avec double authentification pour chaque intervenant et supprimer le compte partagé.
Preuve de vérification : un test depuis Internet confirme que l'interface ne répond plus, la liste des comptes ne contient que des comptes nominatifs et le journal montre la première connexion par le nouveau chemin.
Structure de chaque constat
- Constat observé et élément de preuve
- Risque pour l'activité
- Criticité, effort et dépendances
- Correction recommandée
- Vérification après correction
Méthode
Une intervention compréhensible et maîtrisée.
Les opérations potentiellement sensibles sont préparées, testées et accompagnées d'un retour arrière. Les accès sont limités au périmètre convenu.
- 01
Cadrer
Objectifs, actifs concernés, contraintes, accès, calendrier et résultat attendu.
- 02
Observer
Collecte factuelle, lecture des configurations, mesures et entretiens utiles.
- 03
Agir
Recommandations ou changements priorisés, validés et testés avec preuves.
- 04
Transmettre
Restitution claire, documentation exploitable et prochaines étapes ordonnées.
Livrables
Quels livrables sont remis ?
Un rapport à deux niveaux de lecture : une synthèse pour la direction, et le détail technique pour ceux qui corrigent. Chaque constat indique la preuve observée, le risque et la correction recommandée.
- 01Synthèse destinée à la direction
- 02Constats techniques étayés
- 03Risques classés par criticité et impact
- 04Plan d'actions ordonné par urgence, effort et dépendances
Pour aller plus loin
Les expertises liées à l'audit
Questions fréquentes
Avant de démarrer.
Quels accès sont nécessaires ?
Des accès de préférence en lecture seule aux serveurs, aux équipements réseau, à l'hyperviseur et à l'outil de sauvegarde, ou des exports de configuration. Les accès sont individuels, limités à la durée de l'audit puis révoqués.
Peut-on auditer sans interrompre la production ?
Oui. L'audit repose sur la lecture des configurations, des journaux et des exports, complétée par des contrôles non intrusifs. Les tests susceptibles de perturber un service sont annoncés, planifiés et validés avec vous avant exécution.
Un audit est-il adapté à une petite entreprise ?
Oui. Le périmètre s'adapte : pour une TPE, il peut se limiter aux quelques serveurs, à l'accès distant et aux sauvegardes qui portent l'activité. L'objectif reste de savoir ce qui est exposé et ce qui doit être corrigé en premier.
Que contient le rapport ?
Une synthèse lisible par la direction, puis le détail technique : chaque constat avec sa preuve, son niveau de risque et la correction recommandée, et un plan d'actions ordonné par urgence, effort et dépendances.
Pouvez-vous accompagner la remédiation ?
Oui. Je peux appliquer les corrections, épauler votre équipe pendant qu'elle les réalise, ou vérifier après coup que les mesures prises produisent l'effet attendu.
Quelle différence avec un test d'intrusion ?
Un test d'intrusion cherche à exploiter des failles depuis une position donnée. L'audit d'infrastructure examine l'ensemble des configurations, des accès et des capacités de reprise pour expliquer pourquoi une faiblesse existe et comment la corriger durablement. Les deux approches se complètent.
Quelles informations préparer avant de commencer ?
La liste des serveurs et services critiques, les schémas existants même incomplets, les accès prévus pour l'audit et le nom des interlocuteurs techniques. Ce qui manque est identifié lors du cadrage, sans bloquer le démarrage.
Comment protégez-vous les accès confiés ?
Les accès sont individuels, limités au strict nécessaire et révoqués à la fin du besoin. Les secrets ne sont pas placés dans les livrables et les opérations importantes restent traçables.
Première étape
Présentez-moi l'existant et le résultat attendu.
Je vous réponds avec une première lecture technique, les informations manquantes et la meilleure manière de cadrer la suite.