Audit informatique

Pourquoi faire un Audit informatique :

L’audit informatique est une analyse structurée et complète de votre système d’information (matériel, réseau, sécurité, logiciels, données, organisation, procédures) pour mesurer les risques, les faiblesses et les axes d’amélioration.

Voici comment faire un audit informatique, étape par étape, dans des termes simples.

1. Clarifier l’objectif de votre audit

Avant de commencer, définissez clairement ce que vous voulez évaluer :

Sécurité (cyberattaques, virus, sauvegardes, mots de passe…)
Performance (lenteurs, pannes, réseau saturé…)
Conformité (RGPD, règles internes, exigences clients…)
Organisation (rôles, procédures, dépendance à un prestataire ou à une seule personne…)
Coûts et optimisation (licences inutiles, matériel obsolète, doublons…)

Plus votre objectif est clair, plus l’audit sera utile.

2. Dresser un inventaire de l’existant

Faites une cartographie de votre informatique :

Matériel : postes, serveurs, box, switchs, NAS, imprimantes…
Réseau : schéma simple des connexions (Internet, Wi-Fi, VPN).
Logiciels : systèmes d’exploitation, logiciels métiers, antivirus, outils cloud (Microsoft 365, Google Workspace…).
Données : où sont stockées les données (PC, serveur, cloud), qui y a accès.
Prestataires et contrats : FAI (Orange, etc.), infogérant, hébergeur, licences logicielles.
Procédures : sauvegardes, mises à jour, gestion des incidents, gestion des droits utilisateurs.

Un simple tableau Excel ou un document Word suffit pour commencer.

3. Évaluer la sécurité

Points clés à vérifier :

Sauvegardes
- Y a-t-il une sauvegarde régulière des données critiques ?
- Est-elle testée (restaurations de fichiers) ?
- Est-elle stockée hors site (cloud, autre lieu) ?
Mises à jour
- Les systèmes (Windows, Linux, applications) sont-ils à jour ?
- L’antivirus est-il actif et mis à jour sur tous les postes ?
Accès et mots de passe
- Chaque salarié a-t-il un compte individuel ?
- Les mots de passe sont-ils robustes (longs, uniques) et changés régulièrement ?
- Les comptes anciens (départ de salarié, prestataire) sont-ils désactivés ?
Protection réseau
- Box / routeur correctement configuré (Wi-Fi sécurisé, pas d’accès ouvert inutile).
- Pare-feu activé.
- Accès distant (VPN) encadré et sécurisé.

Notez les points de vulnérabilité visibles (pas de sauvegarde, mots de passe simples, Wi-Fi ouvert…).

4. Examiner l’organisation et les procédures

Demandez-vous :

Qui gère l’informatique au quotidien (interne, prestataire) ?
Y a-t-il une documentation minimale (mots de passe administrateur, schéma réseau, procédures de sauvegarde…) ?
Que se passe-t-il en cas d’incident grave (panne serveur, crypto-virus) ?
Les utilisateurs sont-ils sensibilisés (phishing, pièces jointes, bonnes pratiques) ?

L’objectif est de voir si votre organisation est résiliente ou fragile (ex. tout repose sur une seule personne).

5. Vérifier la conformité et les risques métier

Selon votre activité :

Données personnelles (clients, salariés) : êtes-vous en ligne avec les exigences RGPD ?
Processus critiques : comptabilité, facturation, gestion clients, paiements…
→ Ces processus sont-ils fiables, sans risque de perte de données ou d’indisponibilité prolongée ?
Exigences clients / partenaires : certains demandent des garanties de sécurité (contrats, audits, certifications).

Identifiez les risques qui pourraient bloquer l’activité ou créer un litige.

6. Prioriser les problèmes et définir un plan d’action

À partir de vos constats, classez les points relevés :

Urgent / critique
- Pas de sauvegarde fiable
- Faille de sécurité majeure (Wi-Fi ouvert, mots de passe évidents, accès admin partagé)
- Matériel en fin de vie hébergeant des données clés sans redondance
Important mais non critique
- Documentation insuffisante
- Organisation peu claire, dépendance à un seul prestataire
À améliorer
- Performances, confort d’utilisation, outils pas optimisés

Pour chaque point prioritaire, définissez :

Ce qu’il faut faire (ex. mettre en place une sauvegarde quotidienne cloud + test mensuel).
Qui le fait (prestataire, DSI externe, responsable interne).
Une échéance réaliste (ex. sous 3 mois pour les points critiques).

7. Choisir le bon niveau d’accompagnement

Vous avez plusieurs options :

Audit interne simplifié
- Adapté si structure petite et besoins basiques.
- Vous utilisez des grilles de questions, modèles disponibles en ligne, pour structurer le diagnostic.
Audit par un prestataire / DSI externe
- Recommandé pour une PME ou si vous n’êtes pas à l’aise avec les aspects techniques.
- Il réalisera entrevues, analyse technique, revue de sécurité, puis vous remettra un rapport et une feuille de route.

8. Conseils pratiques si vous débutez

Commencez par documenter ce que vous avez (inventaire + schéma simple).
Ne cherchez pas la perfection technique : ciblez les 3 à 5 risques majeurs.
Concentrez-vous sur :
- Sauvegarde fiable
- Sécurité minimale correcte
- Continuité d’activité (pouvoir redémarrer après incident)
Mettez à jour votre « mini-audit » une fois par an.

Si vous me dites :

le niveau actuel de votre informatique (simple, un peu complexe, très dépendant à un prestataire),

le type de structure (particulier, petite entreprise, association, PME),