La réponse courte : un audit de sécurité informatique sert à savoir, avant un attaquant, où sont les failles de votre système d'information et dans quel ordre les corriger. Il se déroule en cinq étapes, cadrage, collecte, analyse, rapport, plan d'action, et s'appuie sur les référentiels publics de l'ANSSI. Article mis à jour le 9 octobre 2026 avec les chiffres 2025.
Pourquoi réaliser un audit de sécurité ?
Parce que le sentiment de sécurité et la réalité divergent. Selon le baromètre 2025 de Cybermalveillance.gouv.fr, 58 % des TPE-PME pensent bénéficier d'un bon niveau de protection, mais 16 % ont subi au moins un incident dans l'année et 58 % admettent qu'elles ne sauraient pas évaluer les conséquences d'une cyberattaque. L'audit donne une vision objective de l'état de protection, identifie les failles avant qu'elles soient exploitées et fournit une feuille de route pour renforcer votre cybersécurité.
La menace, elle, est mesurée. Dans son Panorama de la cybermenace 2025, l'ANSSI a recensé 128 compromissions par rançongiciel et 196 incidents d'exfiltration de données (130 en 2024), les PME, TPE et ETI restant la catégorie la plus touchée. Le rapport Verizon 2025 attribue 20 % des violations à l'exploitation de vulnérabilités, en hausse de 34 % : des failles connues, non corrigées, que l'audit a précisément pour objet de trouver.
L'audit est aussi de plus en plus demandé de l'extérieur : par les cyberassureurs avant de couvrir, par les clients grands comptes et les établissements de santé vis-à-vis de leurs fournisseurs, et par le RGPD. La CNIL a reçu 6 167 notifications de violations de données en 2025, un record, et consacrera en 2026 la moitié de ses contrôles à la sécurité des données.
Notre méthodologie en cinq étapes
Chez Écureuil Digital, l'audit suit cinq étapes alignées sur le guide d'hygiène informatique de l'ANSSI (42 mesures) et sur la logique de la norme ISO 27001 pour la partie organisationnelle :
| Étape | Objectif | Ce que vous recevez |
|---|---|---|
| 1. Cadrage | Définir le périmètre (sites, serveurs, postes, cloud, télétravail) et les activités critiques | Lettre de mission et planning |
| 2. Collecte | Relever l'existant : topologie réseau, configurations, comptes, sauvegardes, mises à jour, procédures | Inventaire daté du système d'information |
| 3. Analyse | Scanner les vulnérabilités, vérifier manuellement, comparer aux 42 mesures ANSSI, estimer l'impact métier | Liste des écarts classés par criticité |
| 4. Rapport | Expliquer chaque risque en langage clair, avec la preuve et la correction | Rapport détaillé et synthèse de direction |
| 5. Plan d'action | Prioriser : actions immédiates, chantiers du trimestre, chantiers de l'année | Plan chiffré sur devis, puis suivi |
Concrètement, la collecte et l'analyse portent sur l'infrastructure réseau (cloisonnement, pare-feu, Wi-Fi), les configurations systèmes (serveurs, postes, annuaire Active Directory, comptes à privilèges), les sauvegardes (existence, test de restauration, copie hors ligne), la gestion des accès et des mots de passe, les mises à jour, et des entretiens avec la direction et la personne qui gère l'informatique au quotidien. Les vulnérabilités techniques sont notées selon le standard CVSS, ce qui permet de comparer d'une année sur l'autre.
Les livrables de l'audit
- Inventaire des vulnérabilités classées par criticité (score CVSS et impact pour votre activité)
- Écarts par rapport aux 42 mesures du guide d'hygiène de l'ANSSI, mesure par mesure
- Recommandations priorisées : actions rapides et chantiers de fond
- Plan d'action chiffré sur devis, avec un ordre de mise en œuvre
- Synthèse non technique pour la direction, utilisable auprès de l'assureur ou d'un client
Ce que l'audit trouve le plus souvent
Sur les PME réunionnaises que nous auditons, les mêmes écarts reviennent : des sauvegardes jamais restaurées, des comptes de salariés partis toujours actifs, une double authentification absente de la messagerie alors que Microsoft estime qu'elle bloque plus de 99,9 % des attaques de compromission de compte, des pare-feu et des bornes Wi-Fi jamais mis à jour, et un seul réseau pour les postes, les invités et les caméras. Aucun de ces points n'exige un gros budget ; tous exigent qu'on les ait vus. Notre checklist cybersécurité en 12 mesures reprend ces priorités.
Audit gratuit, audit complet, audit réglementaire
Trois niveaux existent et ne répondent pas à la même question. L'audit gratuit de 30 minutes est un premier échange pour qualifier votre situation et vous dire s'il faut aller plus loin. L'audit complet décrit ci-dessus se fait sur place, avec accès aux systèmes et rapport écrit ; c'est celui que demandent les assureurs et les clients. L'audit réglementaire concerne les opérateurs soumis à des obligations légales : l'ANSSI qualifie pour cela des prestataires selon le référentiel PASSI. Pour une PME, le deuxième niveau est le bon ; il deviendra d'autant plus utile que la directive NIS2 imposera à ses entités de vérifier la sécurité de leurs fournisseurs.
Après l'audit : passer à l'action
L'audit n'a de valeur que si ses recommandations sont mises en œuvre. Nous vous accompagnons dans la correction des écarts, par ordre de priorité, et pouvons assurer le suivi dans le temps : la supervision continue, les mises à jour et le test périodique des sauvegardes sont compris dans le forfait infogérance et dans la maintenance par poste, et la sauvegarde externalisée avec plan de reprise fait l'objet d'une offre dédiée. Le détail de l'audit complet est sur la page audit informatique.
Questions fréquentes
Qu'est-ce qu'un audit de sécurité informatique ?
C'est une évaluation méthodique de votre système d'information (réseau, serveurs, postes, comptes, sauvegardes, procédures) pour identifier les vulnérabilités, mesurer les risques pour l'activité et produire un plan d'action classé par priorité. Il s'appuie sur des référentiels publics, en premier lieu le guide d'hygiène informatique de l'ANSSI et ses 42 mesures, et sur la norme ISO 27001 pour l'organisation.
À quelle fréquence réaliser un audit de sécurité ?
Au moins une fois par an, et après tout changement important : nouveau serveur, migration vers le cloud, fusion, nouveau prestataire, incident. Entre deux audits, la supervision continue prend le relais. Le baromètre 2025 de Cybermalveillance.gouv.fr indique que 58 % des TPE-PME ne sauraient pas évaluer les conséquences d'une cyberattaque : l'audit annuel est précisément ce qui donne cette réponse.
Combien de temps dure un audit de sécurité ?
La collecte prend une demi-journée à une journée sur place pour une TPE, plusieurs jours pour une PME multisite ; l'analyse et la rédaction du rapport demandent ensuite une à deux semaines. Le temps pris aux équipes est faible : un entretien avec la direction, un avec la personne qui gère l'informatique au quotidien, et l'accès aux équipements.
Quelle différence entre l'audit gratuit et l'audit complet ?
L'audit gratuit de 30 minutes est un premier échange, au téléphone ou en visio : votre situation, vos points de douleur, une première liste de risques visibles et une recommandation sur la suite. L'audit complet se fait sur place, avec accès aux systèmes, tests de vulnérabilités, revue des configurations et rapport écrit classé par criticité. Le premier dit s'il faut s'inquiéter ; le second dit quoi faire, dans quel ordre.
Un audit de sécurité est-il obligatoire ?
Pas pour la plupart des PME aujourd'hui. Il le devient de fait quand un cyberassureur l'exige, quand un client grand compte ou un établissement de santé l'impose à ses fournisseurs, et il le sera pour les entités concernées par la directive NIS2 une fois la loi française votée. Pour les audits à finalité réglementaire, l'ANSSI qualifie des prestataires selon le référentiel PASSI ; pour une PME, un audit de type état des lieux fondé sur le guide d'hygiène suffit à piloter la sécurité.
Nos services associés
Audit informatique
Sécurité, infrastructure, sauvegardes : l'audit complet sur place, avec rapport classé par priorité.
Cybersécurité
EDR, double authentification, sauvegardes supervisées : les mesures qui suivent l'audit.
Forfait infogérance
Supervision continue et déplacements sur site compris, pour tenir le niveau entre deux audits.
Sauvegarde et PRA
La mesure que l'audit place presque toujours en premier.