La plupart des PME n'ont jamais fait auditer leur infrastructure informatique. Pas par manque de volonté — mais parce que ça ne s'est jamais présenté comme une priorité. L'infrastructure "fonctionne", personne ne se plaint trop, alors on passe à autre chose.
Le problème, c'est que "ça fonctionne" et "c'est en ordre" sont deux choses très différentes.
Ce qu'un audit révèle en général
Après des dizaines d'interventions dans des PME en Île-de-France, voilà ce que je trouve presque systématiquement :
Des comptes actifs d'anciens employés. L'ex-assistante a encore accès à la messagerie. Le prestataire d'il y a 2 ans peut toujours se connecter au VPN. Personne ne le sait.
Des mises à jour en retard. Firewalls, serveurs, applications : souvent des mois de retard. Dans certains cas, des équipements en fin de support depuis plusieurs années.
Des sauvegardes non testées. Les sauvegardes se font, mais personne ne vérifie que la restauration fonctionne. Dans un incident, on découvre que les sauvegardes des 3 derniers mois sont corrompues.
Pas de segmentation réseau. Tous les appareils — postes de travail, serveurs, imprimantes, caméras IP, téléphones — partagent le même réseau. Un seul appareil compromis peut atteindre tout le reste.
Des mots de passe partagés. Le mot de passe admin du NAS est "admin123" et tout le monde le connaît. Les comptes de service partagent le même mot de passe depuis 4 ans.
Aucun de ces points n'est exceptionnel. C'est la réalité de la plupart des PME.
Pourquoi c'est plus urgent qu'avant
Les cyberattaques ciblant les PME ont augmenté significativement ces 3 dernières années. Les attaquants savent que les grandes entreprises investissent massivement en sécurité — ils s'en prennent donc aux maillons les plus faibles : TPE et PME, souvent dépourvues d'équipe IT dédiée.
Un ransomware peut immobiliser une PME pendant des jours ou des semaines. Le coût d'un incident — rançon, perte de données, perte d'activité, communication de crise — dépasse souvent largement ce qu'un audit annuel aurait coûté.
Ce qu'on fait concrètement lors d'un audit
Un audit IT sérieux, ce n'est pas un scan automatique de 10 minutes suivi d'un rapport de 200 pages illisible.
Voilà ce qu'on couvre chez GeniusSec :
- Inventaire des équipements : réseau, serveurs, postes, équipements périphériques
- Analyse des accès et des droits : qui peut accéder à quoi, avec quels privilèges
- Revue de la politique de sécurité : mots de passe, MFA, politique de mise à jour
- Vérification des sauvegardes : où, combien de temps, est-ce que la restauration a été testée
- Analyse de l'infrastructure réseau : segmentation, règles firewall, services exposés
- RGPD : identification des données personnelles traitées, durées de conservation, sécurité des traitements
Le résultat : un rapport court et priorisé. Pas 200 pages de théorie — une liste de ce qui est critique, ce qui est important, et ce qui peut attendre. Avec des recommandations concrètes.
Quand faire un audit
Il n'y a pas besoin d'attendre un incident. Les moments propices :
- Avant une croissance : vous recrutez, vous ouvrez un nouveau site, vous intégrez un prestataire
- Après un incident : ransomware, panne, fuite de données — on comprend ce qui s'est passé
- Changement de prestataire IT : c'est le bon moment pour avoir une vision neutre de l'état des lieux
- Préparation à une certification : ISO 27001, exigences clients, appel d'offres
- Tout simplement, régulièrement : une fois par an pour les PME qui ne veulent pas avoir de mauvaises surprises
Ce que ça coûte
Un audit d'infrastructure IT pour une PME de 10 à 50 postes, c'est une ou deux journées de travail. Chez GeniusSec, le premier diagnostic est offert. Si l'audit complet est nécessaire, on vous chiffre avant de commencer.
C'est incomparablement moins cher que de gérer un incident après coup.