Audit sécurité informatique : voir les failles de votre PME avant qu’un incident ne s’en charge

Parce que les petites structures sont en première ligne. Parmi les victimes de rançongiciels portées à la connaissance de l’ANSSI en 2025, 48 % étaient des PME, TPE ou ETI, contre 37 % un an plus tôt : c’est la catégorie d’organisations la plus touchée par ce type d’attaque (ANSSI, Panorama de la cybermenace 2025). Le volume global ne faiblit pas non plus : tous secteurs confondus, 1 366 incidents ont été portés à la connaissance de l’agence en 2025, autant qu’en 2024 (1 361).

L’ANSSI le précise elle-même : ces chiffres reflètent les incidents qui lui sont signalés, pas l’ensemble des attaques en France.

Côté causes, à l’échelle mondiale, les deux premières portes d’entrée des attaquants restent l’abus d’identifiants (identifiants volés ou détournés, 22 % des violations de données étudiées) et l’exploitation de failles (20 %), selon le Data Breach Investigations Report 2025 de Verizon. Un mot de passe réutilisé, une double authentification jamais activée, une mise à jour repoussée : rien de spectaculaire, et c’est bien le problème.

Ces chiffres ne disent pas que votre PME sera attaquée demain. Ils disent qu’elle ne peut plus compter sur le hasard pour le savoir.

Un audit de sécurité compare ce qui existe réellement dans votre PME (postes, serveurs, comptes, accès, sauvegardes, habitudes des équipes) à ce qui devrait exister pour limiter les risques courants. Ce n’est ni un contrôle administratif ni une liste de cases à cocher : c’est un regard extérieur et neutre, qui répond à une question simple. Si un incident survenait demain, où seriez-vous le plus exposé ?

Pour que ce regard ne dépende pas de l’humeur de l’auditeur, il s’appuie sur des repères reconnus. L’ANSSI publie par exemple un guide gratuit destiné aux petites entreprises, « La cybersécurité pour les TPE/PME en 13 questions ». Il donne une bonne idée de ce qu’un audit passe en revue :

• votre parc : savez-vous précisément quels postes, serveurs, logiciels et comptes existent, et lesquels portent vos données vitales ?
• vos sauvegardes : sont-elles régulières, et une restauration a-t-elle déjà été testée ?
• vos mises à jour : sont-elles appliquées partout, y compris sur les équipements qu’on oublie (box, pare-feu, imprimantes) ?
• vos mots de passe et vos accès : chacun a-t-il ses propres identifiants, avec une double authentification sur les comptes sensibles ?
• votre messagerie : est-elle protégée contre l’hameçonnage ? Pour l’ANSSI, c’est l’un des principaux vecteurs d’infection du poste de travail ;
• vos équipes : savent-elles reconnaître une tentative d’arnaque et à qui la signaler ?
• votre réaction : si un poste était chiffré demain matin, sauriez-vous qui appeler et dans quel ordre agir ?

Beaucoup de ces points relèvent de mesures simples : encore faut-il qu’elles aient été mises en place, et qu’elles le soient restées.

On y retrouve en général trois types de constats. Des angles morts, par exemple : un ancien compte de collaborateur toujours actif, un partage de fichiers ouvert à tout le monde, un poste qui n’a plus reçu de mise à jour depuis des mois. Des fausses certitudes, comme une sauvegarde qui existe mais n’a jamais été restaurée, un filet Microsoft 365 confondu avec une vraie sauvegarde. Et des points solides, qu’il est utile de connaître aussi : tout n’est pas à refaire, et un bon audit le dit.

L’intérêt n’est pas d’empiler les remarques. C’est de distinguer ce qui doit être corrigé cette semaine de ce qui peut attendre le trimestre prochain.

Pour une structure de recherche, une biotech ou une CRO, la question n’est pas seulement « sommes-nous protégés ? », mais aussi « pouvons-nous le démontrer ? ». Un référentiel comme ISO 27001, consacré à la sécurité de l’information, demande de savoir qui accède à quelles données, comment elles sont protégées et comment elles se restaurent. Et l’intérêt des attaquants pour la recherche est réel : dans son Panorama 2025, l’ANSSI signale la compromission de ressources d’un institut de recherche français et y voit un intérêt pour les entités du secteur de la recherche, potentiellement à des fins d’espionnage.

Un audit mené dans ce contexte prépare donc aussi vos prochains audits qualité. Pour les structures soumises à ces référentiels, notre offre Tranquillité + prolonge ce travail dans la durée.

Un audit est une photographie à un instant donné. Les mises à jour, les nouveaux outils et les arrivées de collaborateurs font évoluer votre exposition au risque. C’est pourquoi un audit se prolonge naturellement par un accompagnement dans la durée.

Pour l’un des chantiers les plus souvent négligés, la sauvegarde de vos données Microsoft 365, tout est déjà détaillé dans notre page Sauvegarde Microsoft 365.