Un audit cybersécurité ne devrait pas commencer par une batterie de scans. Pour une PME, sa valeur vient de la capacité à montrer où une compromission pourrait arrêter la facturation, détourner un paiement ou empêcher une reprise. Le guide de l'ANSSI pour les TPE et PME et le cadre du NIST convergent sur une idée : connaître ses actifs, protéger les accès, détecter, répondre et restaurer forment une seule chaîne. Sept failles reviennent lorsque cette chaîne n'a jamais été testée de bout en bout.
1. Les actifs critiques ne sont pas nommés
Une liste de logiciels ne dit pas quels services soutiennent la vente, la paie, la production ou la relation client. Sans cette hiérarchie, toutes les alertes semblent urgentes et les sauvegardes couvrent parfois les mauvais périmètres. Le controle utile porte sur un comportement observable, pas sur la presence d'une option dans une console.
Demandez à chaque responsable de nommer le service qu'il ne peut pas perdre une journée, puis remontez vers les applications, comptes, données et prestataires dont il dépend. Le rapport doit produire une carte courte des dépendances et un propriétaire par service critique.
2. Les comptes à privilèges se confondent avec les comptes courants
Un administrateur qui lit ses courriels et navigue avec le même compte augmente la portée d'un hameçonnage. Les comptes partagés empêchent en plus de rattacher une action à une personne. La priorite se decide selon l'impact sur l'activite et la facilite d'exploitation de la mesure par l'equipe.
Comparez la liste des administrateurs avec les utilisateurs actifs, les départs récents et les comptes de service. Vérifiez quels accès disposent réellement d'un second facteur. Séparez l'usage quotidien, l'administration et les accès d'urgence, puis documentez la révocation.
3. La sauvegarde n'a jamais été restaurée
Une tâche marquée verte prouve qu'un fichier a été copié, pas qu'un service complet peut repartir. Le chiffrement, les dépendances logicielles et les droits peuvent rendre une copie inutilisable au moment critique. Le resultat doit rester comprehensible par la direction, l'informatique et le prestataire qui interviendrait en urgence.
Choisissez un dossier métier et une application, restaurez-les dans un environnement isolé et chronométrez les étapes humaines. La fiche de Cybermalveillance.gouv.fr recommande explicitement de tester la restauration. Classez les écarts entre copie absente, restauration impossible et délai incompatible avec l'activité.
4. Les mises à jour n'ont pas de délai
Dire que les postes sont mis à jour ne précise ni les serveurs oubliés, ni les équipements réseau, ni les logiciels exposés sur Internet. Une exception durable devient une porte d'entrée sans alerte visible. Une preuve datee vaut mieux qu'une declaration generale, car elle permet de voir ce qui a change depuis le dernier controle.
Prenez un échantillon de postes, serveurs, équipements et applications en ligne. Comparez version installée, version supportée, date du dernier correctif et justification des exceptions. Le plan d'action fixe un délai par niveau de risque et une solution de repli pour les systèmes qui ne peuvent pas être corrigés immédiatement.
5. La messagerie ne protège pas les décisions financières
Un filtre réduit du bruit mais ne remplace pas une procédure de validation indépendante. Une boîte compromise peut reprendre le ton, les signatures et l'historique d'un fournisseur réel. La mesure n'est complete que si une personne est responsable de son suivi et si un mode degrade a ete imagine.
Suivez un changement de coordonnées bancaires depuis sa réception jusqu'au paiement. Cherchez le rappel sur un numéro déjà connu, la double validation et la trace de la confirmation. La correction porte d'abord sur la procédure, puis sur les contrôles techniques de messagerie et d'authentification.
6. Les journaux existent sans destinataire
Conserver des traces ne sert pas si personne ne sait quels événements regarder, à quelle fréquence et avec quel seuil. Le premier indice d'une attaque reste alors perdu dans une masse de lignes. Ce choix evite d'empiler des outils tout en laissant la procedure, l'acces ou la donnee critique sans proprietaire.
Demandez trois événements simples : connexion administrateur inhabituelle, création d'une règle de transfert de courriel et arrêt d'une sauvegarde. Vérifiez qui les voit et ce qu'il fait ensuite. Le rapport nomme une source, un signal, un destinataire et une action pour chaque détection prioritaire.
7. La réponse dépend d'une seule personne
Une crise un soir ou pendant un congé expose les organisations qui gardent leurs contacts, mots de passe d'urgence et décisions dans la tête d'un seul collaborateur. La bonne question n'est pas de savoir si la protection existe, mais si elle tient encore pendant une panne ou une attaque.
Simulez son indisponibilité. L'équipe doit pouvoir isoler un poste, joindre le prestataire, prévenir la direction et retrouver la liste des obligations sans utiliser le système potentiellement compromis. L'audit se termine par une fiche d'appel hors ligne et un exercice court, pas seulement par une note de maturité.
Le contrôle à conserver dans le dossier
Une mesure cybersécurité devient durable quand une autre personne peut la vérifier sans dépendre de la mémoire de son auteur. Conservez le périmètre, la date, le responsable, le résultat observé et la prochaine échéance. Le dossier ne stocke aucun secret : il indique seulement où les accès protégés se trouvent et qui peut les révoquer.
- La carte des services critiques est validée par les métiers.
- Les comptes privilégiés et les départs sont rapprochés.
- Une restauration et trois alertes prioritaires sont rejouées.
- Chaque correction a un propriétaire, une échéance et une preuve attendue.
Après un changement important, rejouez le contrôle concerné plutôt que d'attendre la revue générale. Une migration, un départ, une ouverture vers Internet ou un incident modifie le risque immédiatement. La preuve datée permet de distinguer une correction réelle d'une intention et de transmettre la décision à la direction, au prestataire ou à l'équipe de reprise.
Organiser le prochain passage sans tout recommencer
Pour le sujet audit cybersecurite, conservez une page de suivi plutôt qu'un rapport figé. Elle relie le premier angle, « 1. Les actifs critiques ne sont pas nommés », au dernier, « 7. La réponse dépend d'une seule personne », afin de montrer le chemin entre exposition, action et vérification. Ajoutez la date du prochain contrôle, la personne qui l'exécutera et le changement qui imposerait de le rejouer plus tôt. Cette préparation évite que la mesure dépende d'un projet ponctuel ou d'un prestataire qui n'est plus présent.
Lors de la revue, commencez par reproduire le résultat attendu avant de lire les commentaires anciens. Une restauration, une alerte, une révocation ou un appel hors bande fournit une observation directe. Comparez-la ensuite au dossier et expliquez tout écart. Si le contrôle n'est plus pertinent, remplacez-le explicitement plutôt que de le laisser passer au vert par habitude. La sécurité reste ainsi liée au fonctionnement réel de l'entreprise.
Partager une décision compréhensible par un tiers
La synthèse reprend quatre preuves concrètes : la carte des services critiques est validée par les métiers. Les comptes privilégiés et les départs sont rapprochés. Une restauration et trois alertes prioritaires sont rejouées. Chaque correction a un propriétaire, une échéance et une preuve attendue. Elle précise aussi ce qui reste incertain et ce qui n'entre pas dans le périmètre. Cette transparence permet à la direction de prioriser, à l'équipe technique d'agir et à un autre prestataire de reprendre le travail sans interpréter une note opaque.
Terminez par une décision unique pour chaque écart : corriger, compenser, accepter temporairement ou retirer le service. Une décision temporaire porte une échéance et une condition de réouverture. La preuve de fermeture doit montrer le comportement obtenu, pas seulement une facture, une capture de licence ou la présence d'une option. Cette règle simple protège le budget et rend les arbitrages auditables dans le temps.
Commentaires
No comments yet