En clair
Un audit de sécurité ressemble au contrôle technique d'une voiture : on passe en revue une liste de points connue à l'avance, on note ce qui va, ce qui est limite et ce qui est dangereux, et on repart avec la liste des réparations, les plus urgentes en tête. Cette grille fait la même chose pour l'informatique d'une petite structure : vous répondez sur place, l'outil calcule le score et rédige le plan d'action et le rapport.
Avant de commencer
- Prévoyez une demi-journée à une journée selon la taille de la structure : un entretien avec le dirigeant et la personne qui gère l'informatique, puis une visite des locaux et quelques vérifications sur les postes et les consoles.
- Cochez d'abord le périmètre : les questions sur le serveur, l'Active Directory, le Wi-Fi ou le site web n'apparaissent que si la structure en a.
- Vérifiez plutôt que de demander. Chaque question a une rubrique « Comment vérifier » avec la commande ou l'écran à consulter. Un « oui » déclaré mais non vérifié vaut mieux en « Partiel ».
- Notez vos constats dans le champ prévu : ils sont repris tels quels dans le plan d'action et dans le rapport.
Comment le score est calculé
| Réponse | Points obtenus |
|---|---|
| Oui | Toute la pondération du point |
| Partiel | La moitié |
| Non, Ne sait pas | Zéro |
| Non applicable | Exclu du calcul |
Chaque point est pondéré selon sa criticité : critique 3, important 2, recommandé 1. Le score d'un domaine est la part des points obtenus sur les points possibles.
| Niveau global | Score |
|---|---|
| Maîtrisé | 85 % et plus |
| Correct | 70 à 84 % |
| À renforcer | 50 à 69 % |
| Insuffisant | 30 à 49 % |
| Critique | moins de 30 % |
Un point critique non traité plafonne le niveau à « À renforcer », et trois points critiques le plafonnent à « Insuffisant », quel que soit le pourcentage. Une structure parfaite partout sauf sur les sauvegardes hors ligne n'est pas protégée contre un rançongiciel, et le score ne doit pas laisser croire le contraire.
Le plan d'action
| Priorité | Contenu | Délai conseillé |
|---|---|---|
| P1 | Points critiques à « Non » ou « Ne sait pas », et points critiques partiels qui se corrigent rapidement | Sous un mois |
| P2 | Autres points critiques partiels, points importants | Sous trois mois |
| P3 | Points recommandés | Sous un an |
Dans chaque priorité, les actions rapides passent en premier : elles améliorent le niveau tout de suite et entretiennent la motivation. Renseignez un responsable et une échéance pour chaque ligne avant d'imprimer le rapport : un plan sans nom ni date reste dans un tiroir.
Conserver et suivre l'audit
- Les réponses sont gardées dans ce navigateur seulement : rien n'est envoyé sur internet. Sur un poste partagé, utilisez « Nouvel audit » à la fin pour les effacer.
- Enregistrer l'audit produit un fichier à conserver dans le dossier du client ou de la structure. « Ouvrir un audit » le recharge plus tard pour le compléter.
- Comparer à un audit précédent charge l'ancien fichier : les résultats affichent un repère sur chaque barre et l'évolution en points. Refaites l'audit tous les ans, ou six mois après la remise du plan d'action.
- Le plan d'action se télécharge aussi en CSV, pour le suivre dans un tableur ou l'importer dans un outil de tickets.
- Imprimer le rapport produit un document propre : fiche de l'audit, synthèse, priorités immédiates, plan d'action, détail des 80 points et méthode. Choisissez « Enregistrer au format PDF » comme imprimante pour obtenir un fichier.
Ce que cet audit n'est pas
C'est un audit déclaratif et organisationnel, mené en une fois : il ne remplace ni un test d'intrusion, ni un audit de configuration détaillé, ni un accompagnement juridique RGPD. Il donne une photographie fidèle des mesures de base, celles qui évitent la grande majorité des incidents dans les petites structures, et indique où porter l'effort en premier.
Pour aller plus loin
Plusieurs points de la grille ont leur fiche détaillée sur le site : La règle de sauvegarde 3-2-1, Double authentification et clés FIDO2, Les gestionnaires de mots de passe, le planificateur de VLAN pour séparer les équipements, et Installer GLPI pour tenir l'inventaire.