Ce que c’est
Un examen de vos identités, de vos appareils, de vos accès distants, de vos sauvegardes et de vos pratiques, suivi d’un rapport qui nomme les risques et les corrige dans un ordre défini.
Cybersécurité
Audit de cybersécurité pour PME : ce qui est examiné, ce que vous recevez, ce que vous en faites
Un audit de cybersécurité sert à répondre à une question simple : qu’est-ce qui, aujourd’hui, pourrait arrêter votre organisation ou exposer vos données. Cette page décrit exactement ce qui est examiné, le document que vous recevez à la fin, et ce qui se passe ensuite. Elle s’inscrit dans nos services de cybersécurité pour PME.
Un audit de cybersécurité examine six domaines dans votre environnement réel : les identités et les accès, les postes et les serveurs, le réseau et les accès distants, les données et les sauvegardes, les courriels et la collaboration, puis les pratiques. Vous recevez un rapport de constats classés par risque et un plan de correction.
L’essentiel
L’audit de cybersécurité en trois points
Un audit n’est pas un rapport de logiciel exporté en PDF. C’est un examen mené par une personne, qui aboutit à une liste de correctifs classée par ce qui vous ferait le plus mal.
Pour qui
Une PME qui n’a jamais fait vérifier son environnement, qui change de fournisseur TI, qui doit répondre à un questionnaire de sécurité d’un client ou d’un assureur, ou qui vient de vivre un incident.
Ce que ça change
Vous cessez de deviner. Vous savez ce qui est en place, ce qui manque, ce que ça coûterait de ne rien faire, et par quoi commencer lundi matin.
Comprendre
À quoi sert vraiment un audit de cybersécurité
La plupart des PME savent qu’elles ont des faiblesses, mais ne savent pas lesquelles comptent. L’audit sert à trancher cette question, avec des faits plutôt qu’avec des impressions.
Il répond à trois choses : ce qui existe dans votre environnement, ce qui est exposé, et ce qui vous empêcherait de repartir après un incident. Il y a une différence importante entre un audit et un test d’intrusion. Le test d’intrusion cherche à entrer par une faille précise. L’audit dresse le portrait complet et hiérarchise : il découvre le compte d’un ancien employé encore actif, la sauvegarde qui n’a jamais été restaurée, l’accès distant oublié sur un vieux serveur. Pour une PME, c’est presque toujours l’audit qui donne le plus de valeur en premier.
Un audit est aussi ce qui permet de répondre honnêtement quand un client, un assureur ou un donneur d’ordre demande de démontrer vos pratiques. Sans document, la réponse repose sur la mémoire de la personne qui gère l’informatique.
- Le portrait complet plutôt qu’une seule faille trouvée
- Des constats classés par ce qui vous ferait le plus mal
- De quoi répondre à un questionnaire de sécurité avec des preuves
Le contenu
Ce qui est examiné pendant l’audit
L’examen couvre six domaines. Ils sont vérifiés dans votre environnement réel, pas à partir d’un questionnaire rempli par le client.
Les identités et les accès
Ce qui est vérifié. Comptes actifs et comptes orphelins, droits d’administration, authentification multifacteur, comptes de service, comptes partagés, politique de mots de passe, accès des fournisseurs externes.
Ce qu’on y trouve souvent. Des comptes d’anciens employés toujours actifs et des droits d’administration accordés une fois pour dépanner, jamais retirés.
Les postes et les serveurs
Ce qui est vérifié. Inventaire réel du parc, systèmes encore soutenus par leur éditeur, état des correctifs, chiffrement des disques, protection installée et bel et bien active, logiciels non autorisés.
Ce qu’on y trouve souvent. Des machines absentes de l’inventaire officiel et des correctifs en retard sur des logiciels tiers plutôt que sur Windows.
Le réseau et les accès distants
Ce qui est vérifié. Ce qui est publié sur Internet, règles du pare-feu, accès distants, Wi-Fi et réseau invité, segmentation, équipements réseau dont le micrologiciel n’est plus mis à jour.
Ce qu’on y trouve souvent. Un accès distant ouvert pour un projet terminé depuis longtemps.
Les données et les sauvegardes
Ce qui est vérifié. Où sont les données, qui peut les lire, ce qui est sauvegardé, à quelle fréquence, où les copies sont conservées, si une copie est hors de portée d’un attaquant, et quand une restauration a été essayée pour la dernière fois.
Ce qu’on y trouve souvent. Des sauvegardes qui tournent depuis des années sans qu’aucune restauration n’ait jamais été testée.
Les courriels et la collaboration
Ce qui est vérifié. Configuration de Microsoft 365 ou de Google Workspace, SPF, DKIM et DMARC, règles de boîte, partages de fichiers externes, applications tierces autorisées à lire vos données.
Ce qu’on y trouve souvent. Des liens de partage publics créés il y a longtemps et jamais expirés, et un DMARC absent ou inopérant.
Les pratiques et la documentation
Ce qui est vérifié. Procédure d’arrivée et de départ d’un employé, gestion des mots de passe, plan en cas d’incident, registre exigé par la Loi 25, sensibilisation des employés, dépendance à une seule personne.
Ce qu’on y trouve souvent. Aucune procédure écrite, et une seule personne qui détient les accès critiques dans sa tête.
Le déroulement
Comment se déroule un audit, étape par étape
L’audit se déroule en quatre temps. Vos opérations ne sont pas interrompues : la collecte est faite en lecture, sans modification de votre environnement.
Cadrage
Une rencontre courte pour comprendre ce que fait votre organisation, ce qui ne peut pas tomber, vos obligations de conformité et vos inquiétudes. C’est ce qui détermine ce qui compte comme un risque grave chez vous, parce qu’un cabinet comptable et un atelier de fabrication n’ont pas les mêmes points sensibles.
Collecte
Relevé technique de votre environnement, en lecture seulement : inventaire, configurations, journaux, portail infonuagique, équipements réseau. Une partie se fait à distance, une partie sur place lorsque des équipements ou des postes hors réseau doivent être vus.
Analyse et hiérarchisation
Chaque constat est évalué selon deux axes : la probabilité qu’il soit exploité et l’effet sur votre organisation s’il l’est. C’est cette combinaison qui décide de l’ordre, pas la sévérité théorique affichée par un outil.
Présentation et plan
Une rencontre où on passe les constats avec vous, dans un langage sans jargon, et où on repart avec un plan d’action réparti dans le temps : ce qui se corrige tout de suite, ce qui demande un projet, ce qui demande un budget.
Le livrable
Ce que vous recevez à la fin de l’audit
Le rapport est écrit pour être lu par la direction, pas seulement par une personne technique. Il contient les éléments suivants.
- Un sommaire d’une page pour la direction, avec les risques majeurs formulés en conséquences pour l’organisation
- L’inventaire réel de ce qui a été trouvé : postes, serveurs, comptes, accès distants, sauvegardes, services infonuagiques
- Chaque constat avec sa preuve, son niveau de risque et ce qui se produirait s’il était exploité
- Un plan de correction classé en trois temps : immédiat, à planifier, à budgéter
Le rapport vous appartient. L’audit est un mandat autonome. Vous pouvez confier la correction à votre équipe interne ou à un autre fournisseur : le document reste utilisable. Un audit dont les conclusions ne servent qu’à vendre le service du prochain trimestre ne vaut rien.
Aucun système n’est arrêté. La collecte se fait en lecture, sans modification de configuration et sans test qui pourrait faire tomber un service. Un test plus intrusif, s’il est souhaitable, est proposé séparément et autorisé par écrit.
- Ce qui est déjà bien fait, nommé explicitement, pour ne pas défaire ce qui fonctionne
- Les éléments nécessaires pour répondre à un questionnaire de sécurité de client ou d’assureur
- Une base de comparaison pour mesurer le progrès lors du prochain examen
La suite
Et après l’audit, on fait quoi
Vous repartez avec un plan en trois temps. Beaucoup de constats se corrigent rapidement et sans achat, comme la fermeture d’un accès distant oublié. Les autres deviennent des projets à planifier.
- Ce qui touche le courriel se règle par la protection des courriels pour PME
- Ce qui touche le chiffrement de vos fichiers se prépare avec la protection contre les rançongiciels
- Les projets qui demandent un budget s’inscrivent dans un plan directeur TI sur trois ans
- Ce qui doit rester à jour en continu revient à nos services TI gérés ou à la co-gestion TI si vous avez déjà une équipe
- Le volet légal s’outille sur notre page conformité à la Loi 25
- Le même travail existe du côté de la bureautique avec notre audit Microsoft 365
Notre territoire
Où on intervient
Ce service est offert partout au Québec. Notre bureau est à Trois-Rivières. Nous intervenons à distance et nous nous déplaçons sur place lorsque le mandat le demande, par exemple quand des équipements ou des postes hors réseau doivent être vus.
Voyez le détail pour les services informatiques à Trois-Rivières, pour les entreprises de la Mauricie, pour le Grand Montréal ou pour la région de Québec. La liste complète est sur notre page régions desservies.
Le référentiel
Sur quoi l’examen s’appuie
Nos audits s’appuient sur les contrôles de cybersécurité de base du Centre canadien pour la cybersécurité, complétés par les exigences de la Loi 25. Les six domaines décrits plus haut recoupent ces contrôles.
Ce que l’audit ne fait pas. Il couvre le volet technique et organisationnel qui soutient vos obligations légales. Il ne remplace pas un avis juridique sur vos politiques et vos contrats, qui revient à votre conseiller.
Foire aux questions
Questions fréquentes sur l’audit de cybersécurité
Combien de temps prend un audit de cybersécurité pour une PME ?
Cela dépend du nombre de postes, de serveurs et de sites, et de la quantité de documentation déjà existante. La collecte perturbe peu votre équipe : ce qui demande du temps de votre côté, ce sont la rencontre de cadrage et la rencontre de présentation. On vous donne une durée après avoir vu la taille de votre environnement.
Faut-il arrêter les systèmes pendant l’audit ?
Non. La collecte se fait en lecture, sans modification de configuration et sans test qui pourrait faire tomber un service. Si un test plus intrusif est souhaitable, il est proposé séparément, planifié et autorisé par écrit.
Faut-il être client d’OKTO pour faire faire un audit ?
Non. L’audit est un mandat autonome. Le rapport vous appartient et reste utilisable même si vous confiez la correction à quelqu’un d’autre ou à votre équipe interne. C’est un choix volontaire : un audit dont les conclusions ne servent qu’à vendre le service du prochain trimestre ne vaut rien.
Sur quel référentiel l’audit s’appuie-t-il ?
Nos audits s’appuient sur les contrôles de cybersécurité de base du Centre canadien pour la cybersécurité, complétés par les exigences de la Loi 25. L’examen couvre les six domaines décrits sur cette page, qui recoupent ces contrôles.
À quelle fréquence faut-il refaire l’audit ?
Un environnement change : des employés arrivent et partent, des applications sont ajoutées, des équipements vieillissent. Un examen répété permet de vérifier que les correctifs ont tenu et de mesurer le progrès depuis la dernière fois. Chez nos clients en services gérés, une partie de cette vérification est continue plutôt que ponctuelle, par la surveillance et les revues prévues au forfait.
L’audit couvre-t-il la Loi 25 ?
Il couvre le volet technique et organisationnel qui la soutient : où sont les renseignements personnels, qui y accède, comment un incident serait constaté et consigné, et quelles mesures de sécurité sont en place. Il ne remplace pas un avis juridique sur vos politiques et vos contrats.
Et après l’audit, on fait quoi ?
Vous repartez avec un plan en trois temps. Beaucoup de constats se corrigent rapidement et sans achat, comme la fermeture d’un accès distant oublié ou la mise en place de la protection des courriels. Les autres deviennent des projets qu’on peut inscrire dans un plan directeur TI sur trois ans, ou confier à nos services TI gérés si vous voulez que ce soit tenu à jour en continu.
Faire auditer votre environnement
On établit ensemble le périmètre, on collecte, on analyse, et on vous présente les constats en personne. Le rapport vous appartient. Écrivez-nous pour convenir d’une rencontre de cadrage.