Audit informatique d'une PME : ce que nous vérifions en priorité

Beaucoup de dirigeants de PME savent que leur informatique « tient », sans savoir à quel point elle est fragile. Le serveur a été installé par quelqu’un qui est parti, les sauvegardes tournent « normalement », les mots de passe circulent dans l’équipe, et personne n’a de vue d’ensemble. Le jour où un disque lâche ou qu’un rançongiciel frappe, il est trop tard pour faire l’inventaire. Un audit sert précisément à répondre avant l’incident à une question simple : sur quoi repose votre activité, et qu’est-ce qui peut l’arrêter ?

Un audit informatique n’a pas besoin de durer trois semaines ni de produire un rapport de cent pages. Chez ALLSAFE SOLUTIONS, l’audit initial est offert et tient en une journée sur site. Il répond à cinq questions, dans cet ordre.

Avant l’audit : ce qu’il faut préparer

Une journée suffit si les bonnes informations sont disponibles. Pour qu’elle soit utile, préparez :

• Un interlocuteur interne qui connaît l’historique : la personne qui appelle le prestataire quand quelque chose ne marche pas.
• Les accès administrateur aux serveurs, au pare-feu, à la console Microsoft 365 ou Google Workspace, et à l’outil de sauvegarde.
• La liste des contrats en cours : opérateur internet, prestataire informatique, éditeurs de logiciels, maintenance du matériel.
• Les factures de licences récentes, pour savoir ce qui est payé et ce qui est réellement utilisé.
• La liste des applications métier : ERP, comptabilité, paie, logiciel de caisse ou de gestion propre à votre secteur.

Si certaines informations manquent, ce n’est pas grave : leur absence est déjà un constat de l’audit.

1. Si tout s’arrête demain matin, que perdez-vous ?

Nous listons vos applications critiques (messagerie, ERP, fichiers partagés, téléphonie) et mesurons, pour chacune, le temps d’arrêt acceptable et la quantité de données que vous pouvez perdre. Ces deux chiffres dictent tout le reste : la fréquence des sauvegardes, la redondance, le niveau de support.

Les spécialistes parlent de RTO et de RPO :

• Le RTO (Recovery Time Objective) est la durée maximale d’interruption que l’activité peut supporter avant que le service soit rétabli.
• Le RPO (Recovery Point Objective) est la quantité maximale de données que vous acceptez de perdre, exprimée en temps : c’est l’écart entre le moment de la panne et la dernière sauvegarde exploitable.

Ces deux valeurs se décident avec la direction, pas avec l’informaticien. Une facturation qui s’arrête, un standard muet ou un ERP inaccessible n’ont pas le même coût pour toutes les entreprises. Une fois fixées, elles deviennent le cahier des charges du plan de reprise d’activité.

2. Vos sauvegardes existent-elles vraiment ?

Nous ne regardons pas l’écran qui dit « sauvegarde réussie ». Nous restaurons un fichier au hasard, puis une machine complète si possible. Bien souvent, la restauration échoue ou prend des heures que personne n’avait anticipées.

Au-delà du test de restauration, nous vérifions :

• Ce qui est sauvegardé : les serveurs, mais aussi les postes qui contiennent des données, la messagerie et les fichiers stockés dans le cloud.
• Où sont les copies : une sauvegarde sur un disque branché au serveur disparaît avec lui en cas de sinistre ou de rançongiciel.
• Qui peut les supprimer : si un compte administrateur compromis peut effacer les sauvegardes, un attaquant le fera en premier.

La référence reste la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site. Nous détaillons comment l’appliquer avec une copie immuable dans notre guide de la sauvegarde 3-2-1 immuable.

3. Qui peut entrer ?

Comptes administrateurs, anciens salariés encore actifs, mots de passe partagés, accès distants sans MFA, ports ouverts sur le pare-feu. Nous listons chaque porte et nous vérifions qui en a la clé.

Dans la pratique, ce volet révèle souvent les risques les plus faciles à corriger :

• des comptes de personnes parties depuis longtemps, toujours actifs et toujours dotés d’une licence ;
• des utilisateurs qui travaillent au quotidien avec des droits d’administrateur ;
• un accès distant au serveur ouvert directement sur internet ;
• une messagerie sans authentification multifacteur, alors qu’elle est la première cible du phishing.

Activer le MFA est souvent la mesure qui apporte le plus de sécurité pour le moins d’effort. Notre guide de déploiement du MFA explique comment le mettre en place sans bloquer les équipes.

4. Sur quoi tourne tout cela ?

Âge des serveurs, versions des systèmes, garanties, licences. Un serveur de sept ans hors garantie sur un système qui n’est plus mis à jour est une panne programmée, pas une économie.

Nous regardons aussi le réseau : pare-feu, commutateurs, bornes Wi-Fi, lien internet et éventuelle liaison de secours. Un équipement réseau dont plus personne ne connaît le mot de passe, ou dont le micrologiciel n’a jamais été mis à jour, est aussi un point de fragilité. L’objectif n’est pas de tout remplacer, mais de savoir ce qui arrive en fin de vie et de le planifier avant la panne.

5. Combien cela vous coûte-t-il réellement ?

Nous additionnons contrats, licences, matériel et temps interne passé à « bricoler ». Le résultat surprend souvent : une infogérance structurée coûte rarement plus cher que le désordre actuel, elle coûte simplement de manière visible.

Les coûts cachés les plus fréquents sont les licences payées pour des utilisateurs qui n’existent plus, les abonnements en doublon, les heures de travail perdues à chaque panne et le temps qu’un collaborateur passe à dépanner ses collègues au lieu de faire son métier. Pour situer ce budget face à un contrat, voir nos fourchettes de tarifs d’infogérance au Maroc.

Comment nous priorisons les constats

Un audit produit toujours plus de constats qu’on ne peut en traiter d’un coup. Nous les classons selon leur impact sur l’activité et l’effort pour les corriger :

Constat typique	Impact si rien n’est fait	Priorité	Action typique
Restauration jamais testée ou en échec	Perte de données définitive	Immédiate	Corriger la sauvegarde, ajouter une copie hors site, tester
Messagerie et accès distants sans MFA	Compte piraté, fraude, rançongiciel	Immédiate	Activer le MFA, fermer les accès exposés
Anciens comptes encore actifs	Accès non contrôlé aux données	Rapide	Désactiver, revoir les droits d’administrateur
Serveur hors garantie, système non mis à jour	Panne longue, faille non corrigée	Planifiée	Budgéter le remplacement ou la migration
Aucune documentation ni inventaire	Dépendance à une seule personne	Planifiée	Documenter le réseau, les accès et les procédures
Licences inutilisées ou en doublon	Dépense inutile	Opportuniste	Réajuster au prochain renouvellement

Ce classement devient le plan d’action : les priorités immédiates se traitent en premier, les autres s’étalent sur les douze mois du plan selon le budget.

Les erreurs fréquentes

• Confondre audit et inventaire : lister les machines ne dit pas si l’entreprise peut redémarrer après un incident.
• Se contenter du rapport de sauvegarde : seul un test de restauration prouve qu’une sauvegarde fonctionne.
• Faire auditer par celui qui a installé : un regard extérieur voit plus facilement ce qui a été laissé de côté.
• Viser l’exhaustivité : un rapport trop long n’est jamais lu. Mieux vaut trois risques bien identifiés et un plan réaliste.
• Ranger le rapport dans un tiroir : un audit n’a de valeur que si les actions prioritaires sont lancées.

Checklist : les cinq vérifications à faire dès maintenant

• Restaurer un fichier au hasard depuis la sauvegarde et chronométrer l’opération.
• Vérifier qu’au moins une copie de sauvegarde est hors site et hors de portée d’un administrateur compromis.
• Lister les comptes actifs et désactiver ceux des personnes parties.
• Contrôler que le MFA est activé sur la messagerie et sur tous les accès distants.
• Noter l’âge et la fin de garantie de chaque serveur et du pare-feu.

Ce que vous recevez

Un document de cinq pages : l’état des lieux, les trois risques majeurs, un plan d’action priorisé sur douze mois et un chiffrage. Vous en faites ce que vous voulez, y compris le confier à quelqu’un d’autre.

Et après l’audit ?

Le plan d’action peut être mis en œuvre par votre équipe interne, par votre prestataire actuel ou par nous. Si vous nous le confiez, il devient la base d’un contrat d’infogérance informatique dont le périmètre et le prix sont fixés à partir de ce que l’audit a réellement constaté. Demandez votre audit gratuit.