Audit cybersécurité PME
Un audit de cybersécurité pour PME qui finit en plan d’action.
Un audit de sécurité pour PME n’a de valeur que s’il débouche sur des actions priorisées. Le Socle de sécurité PME examine les identités et la double authentification, la messagerie et le domaine (SPF, DKIM, DMARC), les SaaS critiques et les privilèges, les sauvegardes, les appareils, les fournisseurs et la préparation aux incidents. Il se termine par des constats classés et un plan de remédiation par horizon. Dès CHF 990, sur devis ; ce n’est ni un test d’intrusion ni une certification.
Revu le par Danilson Ramos · version 1.0
Ce que vous pouvez faire dès aujourd’hui (gratuit)
- Activez l’authentification multifacteurMessagerie et comptes administrateurs d’abord.
- Sauvegardez régulièrementEt testez une restauration : une sauvegarde jamais restaurée reste une hypothèse.
- Installez les mises à jourSystèmes, applications, équipements réseau.
- Méfiez-vous des emails inhabituelsSurtout ceux qui demandent un paiement, un changement de coordonnées bancaires ou un code.
- Utilisez des mots de passe sûrsUniques, gérés par un gestionnaire de mots de passe.
Ce qu’il ne faut pas faire
- N’achetez pas un catalogue d’outils avant de savoir ce qui vous expose réellement.
- Ne confondez pas une liste de contrôle remplie avec une conformité ou une certification.
- Ne lancez aucun test actif sur un système sans autorisation écrite de son propriétaire.
Quand un audit est utile
- Après un incident, pour savoir ce qui reste exposé.
- Avant de répondre à un questionnaire de sécurité d’un client ou d’un assureur.
- La double authentification n’est pas activée partout.
- Les sauvegardes n’ont jamais été restaurées pour de vrai.
- Personne ne sait exactement qui est administrateur de quoi.
- L’entreprise grandit et les accès ont été donnés au fil de l’eau.
Les voies légitimes
Les premières étapes du BACS
Cinq mesures de base pour les entreprises : authentification multifacteur, sauvegardes, mises à jour, vigilance face aux emails inhabituels, mots de passe sûrs.
La norme minimale TIC
Recommandée à toutes les organisations comme guide ; obligatoire seulement dans certains secteurs (électricité, gaz). Le BACS en est responsable depuis mars 2024.
NIST CSF 2.0 et CIS Controls v8.1
Les référentiels internationaux qui structurent l’évaluation, sans certification à la clé.
Quand un avis spécialisé aide
- Vous n’avez pas de compétence sécurité en interne.
- Vous voulez un regard indépendant de votre prestataire informatique.
- Vous devez prioriser avec un budget limité.
- Un client ou un partenaire demande des preuves de vos mesures.
Socle de sécurité PME
Le Socle de sécurité PME
dès CHF 990
Une demande confidentielle, un périmètre écrit et un prix fixe avant tout travail. L’évaluation se fait principalement à distance, avec des accès en lecture ou des sessions partagées — jamais de mot de passe par email.
- Revue des identités et des accès, couverture de la double authentification
- Protection de la messagerie professionnelle, domaine et DNS (SPF, DKIM, DMARC)
- Configuration des SaaS critiques et des privilèges administrateur
- Préparation des sauvegardes à une vraie restauration
- Gestion des appareils, exposition aux fournisseurs, préparation aux incidents
- Des constats priorisés, avec leur contexte de risque et les actions de remédiation
Limites
- Pas de test d’intrusion : un test actif fait l’objet de règles d’engagement signées et d’un devis séparé.
- Pas de certification ni d’attestation de conformité.
- Les constats dépendent des accès et des informations fournis ; ce qui n’a pas été examiné est dit.
- La remédiation est proposée séparément.
- Pas de test d’intrusion
- Pas de certification ni d’attestation de conformité
- Remédiation proposée séparément
Questions fréquentes
Est-ce un test d’intrusion ?
Non. Le socle est une revue de configuration et d’organisation. Un test d’intrusion exige des règles d’engagement signées, un périmètre précis et fait l’objet d’un devis séparé.
Obtiendrons-nous une certification ?
Non. Le livrable est un rapport de constats priorisés et un plan de remédiation. Aucune liste de contrôle ne vaut certification.
Combien de temps cela prend-il ?
Cela dépend de la taille et du nombre de systèmes ; le délai figure dans la proposition, selon la capacité réelle.
De quoi avez-vous besoin de notre part ?
Une personne habilitée, des accès en lecture ou des sessions partagées avec votre administrateur, et la liste de vos outils critiques. Aucun secret par email.