Audit informatique pour PME, connaître l’état réel de votre système d’information

Un audit informatique, c’est un état des lieux complet et méthodique de votre système d’information. On regarde ce que vous possédez, dans quel état c’est, et ce que ça vous coûterait si une partie venait à lâcher. Rien n’est jugé sur une impression, tout se mesure et se note.

Un audit sérieux couvre quatre périmètres.

• Le parc, vos postes, vos serveurs, vos imprimantes, vos licences et vos garanties.
• L’infrastructure, votre réseau, votre stockage, la virtualisation et vos sauvegardes.
• La sécurité, les accès et les droits, les mises à jour, la protection des postes, et les copies de sauvegarde qu’on vérifie réellement.
• La conformité, le RGPD, la documentation, et ce qu’un client ou un assureur peut vous demander de prouver.

Il faut aussi distinguer trois missions qu’on mélange souvent. L’audit de l’existant dit ce que vous avez. L’audit de sécurité dit ce qui est exposé. Le test d’intrusion dit ce qu’un attaquant obtiendrait vraiment, et c’est une mission à part entière, pas une simple case à cocher dans l’audit. Confondre les trois, c’est croire qu’on a fait le tour alors qu’on n’a regardé qu’un seul angle.

Trois situations amènent une PME à faire ce pas.

La première, les signaux d’alerte. Des lenteurs qui s’installent, des pannes qui reviennent toujours au même endroit, une sauvegarde dont personne ne sait quand elle a été restaurée pour la dernière fois, des licences dont plus personne ne connaît l’usage, du matériel hors garantie, ou ce moment gênant où personne ne sait où sont rangés les accès. Chacun de ces signaux, isolé, se supporte. Mis bout à bout, ils finissent par coûter cher.

La deuxième, les obligations. Il arrive qu’un client, un assureur ou un auditeur réclame des preuves écrites de votre sécurité. Avec le RGPD, vous devez pouvoir dire quelles données personnelles circulent chez vous, à quel endroit elles sont stockées et qui peut les consulter, et le démontrer. Selon votre secteur, la directive NIS2 ajoute ses propres obligations de sécurité. Un audit vous donne de quoi répondre, par écrit, plutôt que de promettre.

La troisième, le changement de prestataire ou l’entrée en infogérance. Avant de signer, vous avez tout intérêt à savoir ce que vous confiez, à récupérer vos accès et votre documentation, et à ne pas découvrir votre parc une fois le contrat lancé. Nous auditons toujours un parc avant de le reprendre, c’est le point de départ de notre infogérance informatique à Paris.

Notre démarche suit toujours le même fil, même si aucun parc ne ressemble à un autre.

L’audit de l’existant se mène avec vous, car votre connaissance de l’usage quotidien éclaire ce que les relevés mesurent.

Vient ensuite l’inventaire de l’existant. Nous relevons vos serveurs, votre réseau, votre stockage, vos postes, vos imprimantes, vos licences et leurs garanties. Nous regardons vos sauvegardes, et surtout leur dernière restauration réelle. Nous notons qui a accès à quoi, avec quels droits. Nous lisons aussi la documentation existante. Une partie de ce relevé demande notre venue dans vos bureaux, car certaines installations ne se lisent bien qu’au contact du matériel, c’est aussi ce que couvre notre infogérance en Essonne.

Si vous voulez une première idée avant même d’engager un audit, notre diagnostic cybersécurité PME en ligne est une marche que vous pouvez franchir seul. Il est gratuit, sans engagement, le résultat est immédiat et aucune connaissance technique n’est requise.

Le rapport d’audit est le livrable concret de la mission. Il se lit sans être informaticien.

Voici ce qu’il contient, dans l’ordre.

• L’état des lieux par domaine, le parc, l’infrastructure, la sécurité et la conformité, décrit tel que nous l’avons trouvé.
• Les écarts constatés, entre ce que vous avez et ce qu’une PME de votre taille devrait avoir en place.
• Les risques, classés par ordre de gravité, pour que vous sachiez quoi regarder en premier.
• Le plan d’action priorisé, qui sépare clairement le correctif immédiat, le projet à planifier et le renouvellement à budgéter.
• Le chiffrage, sur demande, de ce que nous proposons de prendre en charge.

Aucun tarif unique ne s’applique à un audit informatique, parce que chaque système d’information a sa propre taille et sa propre histoire. Sur le marché, plusieurs éléments font varier le coût.

• Le nombre de postes et de sites à relever.
• Le nombre de serveurs.
• Le périmètre retenu, le parc seul, ou le parc avec la sécurité.
• La présence, ou non, d’une documentation à jour.

Chez Nirwana, l’audit de l’existant est gratuit et précède tout devis. C’est sur cet état des lieux que s’appuie le chiffrage de ce que nous proposons ensuite de prendre en charge.

Un audit n’a de valeur que par ce qu’on en fait. À la fin, quatre chemins s’ouvrent, et le choix vous appartient.

Vous pouvez corriger en interne, en suivant vous-même le plan d’action, dans l’ordre de priorité qu’il donne.

Vous pouvez nous confier l’infogérance de votre parc. Notre support informatique externalisé décrit ce que recouvre un contrat d’infogérance et prend le relais au quotidien.

Vous pouvez lancer un chantier de sécurité et conformité, pour traiter ce que l’audit a signalé côté risques et obligations.

Vous pouvez enfin renouveler ou compléter votre matériel et logiciels, ou reprendre votre infrastructure IT quand les constats pointent vers une refonte plus large.