Audit Complet & Plan d’Action Cybersécurité – PME

Objectif de la prestation

Cet audit complet s’adresse aux PME qui souhaitent aligner leur cybersécurité sur les bonnes pratiques de l’ANSSI et du NIST, voire préparer une démarche ISO 27001 ou NIS2.

Il couvre la gouvernance, la gestion des actifs, l’analyse de risques, la sécurité des données, la détection et la réponse à incident ainsi que la continuité d’activité.

Contenu de la prestation

• Entretien direction + IT / prestataire.
• Cartographie du SI (diagrammes, inventaire applicatif, flux critiques).
• Analyse de risques simplifiée (méthode inspirée EBIOS / ISO 27k).
• Revue des politiques (charte informatique, sauvegarde, PRA/PCA éventuels).
• Évaluation des mesures techniques (AD, VPN, pare-feu, MDM, Wi-Fi, etc.).
• Revue des processus de détection et de réponse à incident.
• Restitution sur site ou visio (2h) avec support pédagogique.

Périmètre standard (forfait)

• 1 PME (20 à 150 postes) et 1 périmètre principal (multi-sites : sur devis).
• Entretiens : direction + responsable IT (et prestataire si applicable).
• Cartographie : inventaire applicatif + schémas + flux critiques (sur base des informations fournies).
• Revue technique : revue de configuration des composants clés (ex. annuaire/identités, messagerie, pare-feu/VPN, Wi‑Fi, sauvegardes, MDM) selon l’existant et les accès disponibles.
• Restitution : 1 session 2h (visio incluse ; sur site possible sur devis), jusqu’à 8 participants..

Extensions possibles sur devis : multi-sites, ateliers supplémentaires, périmètre étendu, analyses techniques supplémentaires, etc.

Livrables

• Rapport détaillé (30–50 pages) structuré par familles de mesures
• Plan d’actions chiffré sur 12–24 mois
• Synthèse exécutive 2–4 pages pour la direction

Familles de mesures évaluées (exemples)

• Gouvernance & organisation (rôles, règles, pilotage)
• Identités & accès (comptes admin, MFA, droits)
• Postes / serveurs (durcissement, mises à jour, protections)
• Messagerie & phishing (protection, pratiques, exposition)
• Sauvegardes & restauration (méthode, fréquence, tests)
• Réseau & accès distants (VPN, Wi‑Fi, segmentation)
• Données (stockage, partage, droits, exposition)
• Détection & réponse à incident (journalisation, alertes, procédures)
• Continuité (PRA/PCA : existant, cohérence, priorités)

Public cible

• PME 20–150 postes
• Structures en pré‑projet ISO 27001 / NIS2 / exigences clients

Délais et planning indicatif

• Durée typique : 3 à 6 semaines (selon taille du périmètre et disponibilité des interlocuteurs).
• Kick-off : cadrage et collecte des éléments (Semaine 1).
• Analyse : cartographie + revue documentaire + revue technique + analyse de risques (Semaines 1–4).
• Livraison : rapport + plan d’actions + synthèse direction (Semaines 4–6) + restitution 2h.

Le planning est confirmé au cadrage en fonction des accès nécessaires.

Pré-requis (pour un audit efficace)

• Interlocuteur référent (direction et/ou IT) disponible pour le cadrage et la restitution.
• Accès aux documents existants (charte informatique, sauvegardes, PRA/PCA si existants, procédures incident).
• Accès aux consoles/outils clés (selon l’existant) : annuaire/identités, messagerie, sauvegardes, pare-feu/VPN, MDM, inventaire.

Limites (hors périmètre)

• Ce service n’est pas un test d’intrusion (pentest) ni une investigation forensique.
• Il ne constitue pas une certification ISO 27001 : il peut en revanche préparer une démarche (gap analysis / feuille de route).
• La mise en œuvre des actions peut être réalisée par vos équipes, votre prestataire, ou via une prestation complémentaire.

Confidentialité

• NDA / accord de confidentialité possible sur demande.
• Les informations collectées sont limitées au strict nécessaire pour l’audit.
• Conservation des éléments de travail : pendant la mission puis suppression au plus tard 6 mois après la fin (sauf demande contraire / obligations).

Bénéfices pour le client

• Justification claire du budget cybersécurité vis‑à‑vis de la direction
• Alignement avec les attentes assureurs / donneurs d’ordre
• Réduction significative du risque et du coût potentiel de cyberattaque