Un audit de sécurité IT complet en 2026 couvre six domaines : la gouvernance et les accès, les postes de travail et la mobilité, le réseau et l'infrastructure, les applications et les données, les sauvegardes et la continuité, et enfin le facteur humain et les procédures. La checklist ci-dessous permet un premier auto-diagnostic honnête : chaque point sans réponse claire est un chantier potentiel, à prioriser ensuite par niveau de risque réel pour votre activité.
1. Gouvernance et accès
- Existe-t-il un inventaire à jour des comptes utilisateurs, avec un processus de désactivation le jour du départ d'un collaborateur ou d'un prestataire ?
- Le principe du moindre privilège est-il appliqué : chacun n'a que les droits nécessaires à sa fonction, et les comptes administrateurs sont-ils séparés des comptes du quotidien ?
- La MFA est-elle activée partout où c'est possible, en priorité sur la messagerie, le VPN, les outils d'administration et les services financiers ?
- Les accès des prestataires externes sont-ils nominatifs, limités dans le temps et journalisés ?
- Une politique de mots de passe s'appuie-t-elle sur un gestionnaire d'entreprise plutôt que sur la mémoire et les post-it ?
2. Postes de travail et mobilité
- Tous les postes reçoivent-ils leurs mises à jour de sécurité automatiquement, système et applications comprises ?
- Un EDR ou au minimum un antivirus géré de manière centralisée est-il déployé et supervisé ?
- Les disques des ordinateurs portables sont-ils chiffrés, et les écrans se verrouillent-ils automatiquement ?
- Savez-vous effacer ou verrouiller à distance un appareil perdu ou volé, y compris les téléphones accédant à la messagerie ?
- Les usages personnels et professionnels sont-ils cloisonnés sur les appareils qui accèdent aux données de l'entreprise ?
3. Réseau et infrastructure
- Disposez-vous d'une cartographie à jour de vos serveurs, équipements réseau et services cloud, avec leurs versions ?
- Les équipements exposés sur Internet (pare-feu, VPN, messagerie) sont-ils à jour, et les interfaces d'administration inaccessibles depuis l'extérieur ?
- Le réseau est-il segmenté : Wi-Fi invités séparé, serveurs sensibles isolés des postes bureautiques ?
- Les mots de passe par défaut des équipements ont-ils tous été changés ?
- Les journaux des systèmes critiques sont-ils centralisés et conservés assez longtemps pour investiguer un incident survenu il y a plusieurs semaines ?
4. Applications et données
- Avez-vous l'inventaire des applications métier, de leurs hébergements et de leurs responsables, y compris le shadow IT toléré ?
- Les dépendances et frameworks de vos applications développées sur mesure sont-ils maintenus et audités régulièrement ?
- Les données sensibles sont-elles identifiées, chiffrées en transit et au repos, et leur accès est-il tracé ?
- Les environnements de test utilisent-ils des données anonymisées plutôt que des copies de la production ?
- Vos obligations RGPD sont-elles couvertes : registre des traitements, durées de conservation, procédure de notification en cas de violation ?
5. Sauvegardes et continuité
- Appliquez-vous la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site et déconnectée ou immuable ?
- Les sauvegardes sont-elles testées par des restaurations réelles, et pas seulement supposées fonctionner ?
- Connaissez-vous votre durée maximale d'interruption acceptable et votre perte de données maximale tolérable, service par service ?
- Un plan de continuité écrit existe-t-il, avec les contacts d'urgence accessibles même si le système d'information est hors service ?
- Les sauvegardes sont-elles protégées contre un attaquant qui aurait compromis vos comptes administrateurs, scénario classique des rançongiciels ?
6. Humain et procédures
- Vos équipes sont-elles sensibilisées régulièrement, avec des exercices pratiques comme des simulations de phishing ?
- Chacun sait-il à qui signaler un email suspect ou un comportement anormal, et le signalement est-il valorisé plutôt que sanctionné ?
- Une procédure de gestion d'incident écrite désigne-t-elle qui décide, qui communique et qui agit ?
- Les paiements et changements de RIB suivent-ils une double validation systématique ?
- Les arrivées, départs et changements de poste déclenchent-ils une revue des accès ?
Prioriser les corrections par le risque
Une checklist révèle souvent des dizaines d'écarts ; tout corriger d'un coup est irréaliste. Croisez deux critères pour chaque écart : la probabilité d'exploitation (un service exposé sur Internet sans mise à jour se fera scanner en heures, pas en mois) et l'impact métier (arrêt de production, perte de données clients, fraude financière). Traitez d'abord le quadrant probabilité forte et impact fort — typiquement la MFA manquante sur la messagerie, les équipements exposés obsolètes et les sauvegardes non testées. Les mesures peu coûteuses et rapides, comme la double validation des paiements, méritent d'être appliquées immédiatement quel que soit leur rang.
À quelle fréquence auditer, et avec qui ?
Le bon rythme pour une PME : une revue interne trimestrielle sur les fondamentaux (comptes, mises à jour, sauvegardes), un audit complet annuel, et un audit ponctuel après tout changement majeur — migration cloud, fusion, nouvelle application critique, incident de sécurité. L'auto-diagnostic interne a une vraie valeur : il est fréquent, peu coûteux et développe la culture sécurité. Mais il souffre d'angles morts structurels : on ne teste pas bien ses propres choix, et certaines vérifications (tests d'intrusion, revue de configuration avancée, analyse de code) exigent un outillage et une expérience spécifiques. L'audit externe apporte ce regard neuf, une comparaison avec l'état de l'art et une priorisation argumentée que l'on peut présenter à sa direction ou à son assureur cyber.
Le plus difficile n'est pas de cocher la liste, mais de transformer ses résultats en plan d'action tenu dans la durée. S'appuyer sur un partenaire technique qui audite, priorise puis accompagne la remédiation permet de passer du constat à une posture de sécurité qui progresse réellement d'un trimestre à l'autre.