À quoi ressemble un (bon) audit de sécurité IT pour une PME mauricienne
Un bon audit de sécurité n'est ni un scan automatique rebadgé, ni un rapport de 80 pages que personne ne lira. C'est un exercice cadré — périmètre explicite, méthodes adaptées à vos enjeux, livrables actionnables — qui débouche sur un plan de remédiation priorisé et sur un re-test. Tout le reste est de la photographie coûteuse.
Le périmètre : décider ce qu'on audite, et ce qu'on n'audite pas
Une PME mauricienne n'a ni le budget ni le besoin d'auditer l'intégralité de son système d'information chaque année. Le périmètre se construit à partir des risques métier : qu'est-ce qui, s'il tombe ou fuit, fait vraiment mal ? La facturation, les données clients, la messagerie, l'accès distant des équipes ?
Les grandes familles à arbitrer sont connues : la surface exposée sur Internet (site web, messagerie, VPN, accès distants), le réseau interne et l'annuaire, les configurations cloud et SaaS — souvent le parent pauvre —, les sauvegardes et leur capacité réelle de restauration, et le facteur humain. Un bon auditeur vous aide à choisir ; un mauvais vous vend « tout » sans discussion, ou pire, audite ce qu'il sait auditer plutôt que ce qui vous menace.
Les méthodes : de l'entretien au test d'intrusion
Un audit sérieux combine plusieurs approches, et la terminologie mérite d'être clarifiée avant de signer un devis. La revue documentaire et les entretiens établissent l'écart entre ce qui est écrit et ce qui est fait — c'est souvent là que se cachent les vraies surprises. Le scan de vulnérabilités est un outil automatisé qui repère les faiblesses connues : utile, rapide, mais ce n'est pas un test d'intrusion.
Le test d'intrusion (pentest), lui, met un humain en position d'attaquant : il enchaîne les faiblesses comme le ferait un adversaire réel, en boîte noire (sans information préalable), grise (avec un compte utilisateur) ou blanche (avec la documentation). S'y ajoutent les revues de configuration — annuaire, pare-feu, messagerie, tenant Microsoft 365 ou Google Workspace — et, si le périmètre l'inclut, des exercices d'ingénierie sociale strictement encadrés. Tout cela suppose une lettre d'autorisation signée, des règles d'engagement écrites et des fenêtres de test convenues : un prestataire qui « attaque » sans cadre formel vous met juridiquement en danger.
Les livrables qui comptent vraiment
Le livrable central n'est pas le rapport technique, c'est le plan d'action priorisé. Un bon rapport contient trois étages : une synthèse en langage métier pour la direction, qui relie chaque risque à un impact concret ; le détail technique reproductible pour l'équipe IT ou le prestataire ; et une priorisation honnête — quelques actions critiques à traiter vite, des améliorations de fond, et ce qui peut attendre, avec un ordre de grandeur d'effort pour chaque action.
Exigez aussi une restitution orale. C'est dans la discussion que les constats prennent leur sens, que les faux positifs se corrigent et que les priorités s'ajustent à votre réalité budgétaire. Enfin, le re-test des points critiques après remédiation devrait figurer au devis initial : c'est lui qui transforme l'audit en amélioration mesurée plutôt qu'en constat daté.
Le piège du « rapport PDF et au revoir »
Le scénario est classique : un audit facturé confortablement, un PDF impressionnant, une réunion de restitution — puis plus rien. Six mois plus tard, les vulnérabilités critiques sont toujours ouvertes, et le rapport sert surtout à rassurer un assureur ou un client. Les signaux d'alerte se repèrent dès l'avant-vente : un « pentest » au prix d'un scan, aucun entretien prévu avec vos équipes, un rapport visiblement généré sans priorisation, une vente par la peur, et aucune offre de re-test.
Il y a aussi la question de l'indépendance : un auditeur qui vend la remédiation a un biais potentiel. Cela ne disqualifie pas les prestataires qui font les deux — c'est fréquent et souvent efficace à Maurice où le marché est petit — mais le conflit d'intérêts doit être posé sur la table et le rapport doit rester exploitable par n'importe quel tiers. Notre guide pour choisir un prestataire informatique à Maurice détaille ces critères. Et rappelez-vous qu'un audit ne remplace pas les fondamentaux permanents — sauvegardes immuables, supervision, astreinte — décrits dans notre plan minimal viable de cybersécurité PME : l'audit vérifie le dispositif, il ne s'y substitue pas.
Checklist : les questions à poser avant de signer
- Le périmètre est-il écrit et construit à partir de vos risques métier, pas d'un catalogue ?
- Scan ou pentest ? Faites préciser la méthode, le mode (noire, grise, blanche) et le temps humain réellement passé.
- Qui audite ? Demandez l'expérience des intervenants réels, pas celle de la plaquette.
- Y a-t-il des entretiens avec vos équipes et une revue de vos configurations cloud et SaaS ?
- Les sauvegardes sont-elles testées par une restauration réelle pendant l'audit ?
- Le rapport a-t-il trois étages : synthèse direction, détail technique, plan d'action priorisé avec efforts estimés ?
- Une restitution orale est-elle incluse, avec la direction présente ?
- Le re-test des points critiques figure-t-il au devis initial ?
- Le cadre légal est-il formalisé : autorisation signée, règles d'engagement, confidentialité des constats ?
- Et après ? Si vous voulez qu'un audit débouche sur un plan suivi plutôt que sur un PDF, discutons de votre périmètre avant de le figer.
Comment SOVALYX peut vous aider
SOVALYX aborde l'audit de sécurité comme le point de départ d'un plan d'action, pas comme un livrable final : périmètre défini avec vous, restitution en langage métier, priorisation par risque réel, puis accompagnement dans la remédiation avec re-test des points corrigés. Le diagnostic initial permet de dimensionner l'audit à la taille et aux enjeux réels d'une PME.
Parler sécurité avec un ingénieur🧰 L'outil qui va avec : Votre sauvegarde survivrait-elle à un ransomware ? — gratuit · 2 minutes.
Relu et optimisé par IA.