Un audit cybersécurité PME est un état des lieux daté : il mesure l’écart entre votre système d’information réel et un référentiel de bonnes pratiques, puis hiérarchise cet écart. Il ne corrige rien, ne prouve pas qu’une attaque échouera, et sa valeur tient entièrement à ce que vous en faites dans les trois mois qui suivent.
Beaucoup de dirigeants commandent un audit en espérant une réponse binaire — « sommes-nous sécurisés ? » — et reçoivent un document de quarante pages qu’ils ne savent pas exploiter. Le problème n’est presque jamais la qualité de l’audit : c’est un malentendu sur ce que cet exercice peut produire. Voici ce qu’il contient réellement, combien de temps il mobilise vos équipes, et les trois questions auxquelles il ne répondra pas.
Ce que contient un audit de cybersécurité en PME
Un audit sérieux se décompose en quatre volets, que le prestataire combine selon votre périmètre. Le premier est l’audit organisationnel : entretiens avec la direction, la DSI ou le prestataire informatique, revue des procédures existantes, des contrats, des clauses de sécurité avec vos fournisseurs. C’est souvent le volet le plus révélateur, parce qu’il expose les décisions implicites — qui a les droits administrateur, qui autorise un nouvel outil SaaS, qui est appelé un dimanche soir.
Le deuxième est l’audit de configuration : revue de l’annuaire Active Directory ou Entra ID, des politiques de mots de passe et d’authentification multifacteur, des règles du pare-feu, des accès distants, des sauvegardes et de leur restauration effective. C’est là que se trouvent la plupart des écarts exploitables au quotidien.
Le troisième est l’audit technique de surface : inventaire de ce qui est exposé sur Internet, versions logicielles, correctifs manquants, certificats, services oubliés. Le quatrième, optionnel et facturé à part, est le test d’intrusion — une tentative d’exploitation réelle, sur un périmètre négocié.
Le livrable attendu n’est pas la liste des vulnérabilités. C’est un rapport qui classe les écarts par risque — probabilité multipliée par impact sur votre activité — et propose un plan de remédiation séquencé, du geste gratuit au projet budgété. Un rapport qui se contente d’un export d’outil de scan n’est pas un audit : c’est une facture.
Combien de temps prend un audit, et de quoi dépend la durée
Pour une PME de 20 à 200 postes avec un système d’information standard — messagerie cloud, un ou deux serveurs, du SaaS métier —, l’audit se déroule généralement sur deux à quatre semaines calendaires, dont quelques jours seulement de travail effectif du prestataire. Ce qui allonge le calendrier n’est presque jamais la technique : c’est la disponibilité de vos interlocuteurs et le temps de collecte des informations.
Trois facteurs font dériver la durée. Le périmètre flou d’abord : si personne ne sait combien de serveurs, de locaux ou d’applications métier existent, le prestataire commence par un inventaire que vous payez au prix de l’expertise. L’absence d’inventaire des accès ensuite : sans liste des comptes à privilèges et des outils SaaS utilisés, chaque entretien ouvre une nouvelle piste. Enfin les environnements hérités, machines en fin de support ou applications sans propriétaire identifié, qui demandent des arbitrages métier que le prestataire ne peut pas prendre à votre place.
Côté charge interne, prévoyez l’équivalent de deux à cinq jours répartis sur la période : entretiens, extraction de configurations, validation du rapport. Si vous externalisez votre informatique, votre prestataire doit être associé dès le cadrage — un audit mené sans lui produit un rapport que personne ne pourra appliquer. Un inventaire préalable de vos usages, y compris les outils SaaS adoptés sans validation, réduit mécaniquement la facture.
Les trois choses qu’un audit ne dit pas
Première limite : un audit ne prouve pas l’absence de compromission. Il regarde des configurations et des procédures, pas l’historique des journaux d’activité. Si un attaquant est entré il y a quatre mois et se tient tranquille, un audit organisationnel ne le verra pas. Cette question relève d’une recherche de compromission, qui est une prestation différente.
Deuxième limite : un audit est périmé dès sa remise. Il photographie un système d’information à une date donnée, alors que vos expositions changent chaque semaine — un correctif éditeur publié, un collaborateur qui part, un nouvel outil connecté à votre messagerie. Un rapport de janvier décrit mal le mois de juin.
Troisième limite, la plus coûteuse : un audit ne détecte rien. Il n’y a pas d’alerte, pas d’astreinte, personne pour voir une connexion administrateur à trois heures du matin depuis un pays où vous n’avez pas de bureau. Un audit réduit votre surface d’attaque ; il ne raccourcit pas le délai entre l’intrusion et la réaction. Ce sont deux métiers distincts, et c’est précisément pour cela qu’un audit ne remplace pas la surveillance.
Audit, test d’intrusion, surveillance : ce qui répond à quoi
Les trois répondent à des questions différentes, et les confondre coûte cher. L’audit répond à « où sommes-nous faibles, et dans quel ordre corriger ». Le test d’intrusion répond à « cette faiblesse est-elle réellement exploitable, et jusqu’où », sur un périmètre restreint : utile pour arbitrer un investissement contesté, ou pour une application exposée que vous venez de mettre en production, mais sans valeur si les écarts élémentaires ne sont pas traités. La surveillance continue répond à « est-ce que quelque chose se passe en ce moment ».
L’ordre logique est presque toujours le même : auditer pour savoir, remédier pour réduire, surveiller pour tenir. Beaucoup de PME inversent les deux derniers, ou s’arrêtent après le premier — le rapport d’audit dort dans un dossier partagé et le risque réel n’a pas bougé. Si votre entreprise entre dans le périmètre de la directive européenne, ces trois briques se lisent aussi comme des obligations : notre test en 5 questions sur le périmètre NIS2 permet de le vérifier rapidement. Le choix de l’outillage de détection, lui, se prépare en amont — voir notre comparaison EDR ou antivirus en PME.
Que faire maintenant
- Clarifiez le périmètre avant de demander un devis : nombre de postes, de serveurs, de sites, d’applications métier et d’outils SaaS, même approximatif.
- Exigez un rapport hiérarchisé par risque métier, avec un plan de remédiation séquencé et chiffré en effort, pas un export d’outil de scan.
- Vérifiez la qualification du prestataire et son référentiel de travail, en particulier s’il se présente comme auditeur qualifié PASSI.
- Planifiez la remédiation et son budget avant de lancer l’audit, faute de quoi le rapport restera sans suite.
- Relisez le rapport six mois plus tard et mesurez ce qui a bougé : c’est le seul indicateur qui compte.
Pour situer votre niveau avant d’engager une prestation, notre auto-évaluation du risque de sécurité donne un premier repère en quelques minutes.
Un audit vous dit où vous êtes faibles ; il ne vous dira pas qu’une intrusion est en cours. Cette seconde question demande une détection permanente : découvrez notre SOC managé 24/7 pour PME et ETI.
Ce qu’il faut retenir
- Un audit mesure un écart à une date donnée : il ne corrige rien et ne détecte rien.
- Quatre volets possibles : organisationnel, configuration, surface exposée, test d’intrusion optionnel.
- Deux à quatre semaines calendaires en PME, dont deux à cinq jours de charge pour vos équipes.
- Un périmètre flou et l’absence d’inventaire des accès sont les deux principaux facteurs de dérive.
- Le seul audit utile est celui dont le plan de remédiation est budgété avant la remise du rapport.