Audit de cybersécurité d'une TPE ou PME dans le 06 : déroulement, contrôles et rapport remis

Beaucoup de dirigeants de TPE et de PME savent qu'ils devraient « faire le point » sur la sécurité de leur informatique, sans savoir à quoi ressemble concrètement un audit. Combien de temps on mobilise l'équipe, ce que l'auditeur regarde, ce qu'il touche ou ne touche pas, et surtout ce que l'on reçoit à la fin. Voici le déroulement d'un audit tel que nous le menons auprès des entreprises de Nice, Cannes, Antibes, Sophia Antipolis, Monaco et du reste des Alpes-Maritimes.

Pourquoi auditer une petite entreprise ?

Une petite entreprise n'a généralement pas de service informatique. Les réglages ont été faits un jour, par un prestataire ou par un salarié débrouillard, puis la vie a continué : des personnes sont parties, d'autres sont arrivées, un logiciel a été ajouté, un accès à distance a été ouvert « pour dépanner ». Personne n'a refait le tour depuis.

Or les attaques visent justement ces oublis. Dans son rapport d'activité 2025, Cybermalveillance.gouv.fr place le piratage de comptes en ligne en tête des menaces touchant les professionnels, en hausse de 45 %, et relève une forte progression des fraudes au virement, souvent consécutives à un piratage de compte. Un compte mal protégé ou oublié suffit.

L'audit sert à remplacer les impressions (« je pense qu'on est bien protégés ») par des constats vérifiés, et à décider ensuite, en connaissance de cause, ce qui mérite d'être corrigé en premier.

Les étapes d'un audit, du premier échange à la restitution

1. Premier échange (offert) : vous nous décrivez votre activité, vos outils, vos prestataires et ce qui vous inquiète. Nous définissons ensemble le périmètre de l'audit.
2. Recueil des informations : liste des postes, serveurs, comptes, abonnements, accès à distance et prestataires (fournisseur d'accès, logiciel métier, copieur, téléphonie).
3. Accès en lecture seule : pour Microsoft 365, un compte d'audit dédié avec des droits de lecture, créé pour l'occasion et supprimé à la fin.
4. Contrôles à distance et sur place : pare-feu, réseau, Wi-Fi, postes, serveurs, sauvegardes, avec un interlocuteur de votre côté.
5. Analyse : chaque constat est vérifié, expliqué et classé selon le risque réel pour votre entreprise.
6. Restitution : un échange avec le dirigeant pour présenter les résultats, puis la remise d'une synthèse écrite et d'un plan d'action.

Ce qui est vérifié concrètement

Le contenu s'adapte à votre entreprise, mais on retrouve presque toujours les mêmes grands chapitres :

• Microsoft 365 : comptes actifs et comptes d'anciens salariés, administrateurs, double authentification, transferts automatiques de mails, applications connectées, licences, réglages des domaines de messagerie (SPF, DKIM, DMARC).
• Réseau et pare-feu : ce qui est visible depuis Internet, règles du pare-feu, Wi-Fi, séparation des réseaux, équipements oubliés.
• Accès à distance : VPN, bureau à distance exposé sur Internet, outils de prise en main, comptes des prestataires.
• Postes et serveurs Windows : mises à jour, version de Windows encore prise en charge, antivirus, comptes administrateurs locaux.
• Sauvegardes : ce qui est sauvegardé, où, combien de copies, existence d'une copie hors ligne, date du dernier test de restauration.
• Mots de passe : où ils sont rangés, qui les connaît, mots de passe partagés ou par défaut.
• Supervision : quelqu'un est-il prévenu quand un disque, une sauvegarde ou un équipement tombe en panne ?

Ce que contient le rapport

Le rapport est écrit pour un dirigeant, pas pour un informaticien. Il commence par une synthèse courte qui répond à la seule question qui compte : où sont les risques les plus sérieux et que faut-il faire en premier ?

Chaque constat est ensuite présenté de la même façon, pour pouvoir être compris et confié à quelqu'un :

• ce que nous avons observé, sans jargon inutile ;
• le risque concret pour l'entreprise (arrêt d'activité, fraude, perte de données, fuite d'informations) ;
• la correction recommandée et l'effort qu'elle demande ;
• son niveau de priorité : urgent, à faire dans le mois, à planifier dans le trimestre.

Ce qu'il faut préparer de votre côté

• Un interlocuteur disponible, qui connaît l'organisation et peut ouvrir les portes (au sens propre comme au sens informatique).
• Un accès administrateur à Microsoft 365, ou une personne capable de créer le compte d'audit en lecture seule avec nous.
• La liste de vos prestataires et de leurs coordonnées : fournisseur d'accès Internet, éditeur du logiciel métier, copieur, téléphonie.
• Les contrats ou abonnements en cours, si vous les avez sous la main.
• Vos questions : un incident passé, un doute sur un mail, un salarié parti en mauvais termes. Ce sont souvent les meilleures pistes.

Ce qu'un audit n'est pas

Un audit de cybersécurité de TPE ou de PME n'est pas un test d'intrusion : nous ne cherchons pas à pénétrer votre réseau par la force, nous vérifions les réglages et les pratiques. Ce n'est pas non plus une certification ni une promesse qu'aucune attaque ne réussira. C'est une photographie de la situation à un moment donné, qui n'a de valeur que si elle débouche sur des corrections.

Si vous voulez commencer seul, le guide « La cybersécurité pour les TPE/PME en 13 questions », publié par l'ANSSI avec la Direction générale des entreprises, est un bon point de départ. Et si vous êtes déjà victime d'une attaque, le bon réflexe est le service public 17Cyber, qui établit un diagnostic et oriente vers une assistance.

L'audit de cybersécurité avec LAN & WAN

LAN & WAN accompagne depuis 2010 les TPE et PME des Alpes-Maritimes et de Monaco depuis Carros, et suit au quotidien plus de 1200 ordinateurs. Nos audits portent sur ce que nous gérons tous les jours : Microsoft 365, pare-feu pfSense, accès à distance, postes et serveurs Windows, sauvegardes, mots de passe et supervision.

Vous recevez une synthèse claire et un plan d'action par priorités. Vous restez libre de le mettre en œuvre avec votre équipe, votre prestataire actuel ou avec nous, par exemple avec Shield 365 pour la protection et la supervision de Microsoft 365, KeyBox pour le coffre de mots de passe de l'équipe et Safebox pour la sauvegarde. Le premier échange est offert : appelez-nous au 04 93 20 39 86, du lundi au vendredi, de 9h à 12h et de 14h à 18h.

Sources

• Cybermalveillance.gouv.fr dévoile son rapport d'activité et état de la menace 2025 (26 mars 2026)
• La cybersécurité pour les TPE/PME en 13 questions (ANSSI et Direction générale des entreprises) (26 octobre 2022)
• 17Cyber, mon assistance en ligne (Cybermalveillance.gouv.fr) (28 janvier 2026)
• CNIL, guide de la sécurité des données personnelles : piloter la sécurité des données (14 mars 2024)