Audit cybersécurité pour PME : par où commencer ?

« On aimerait faire un audit, mais on ne sait pas par quel bout le prendre. » C'est la phrase qu'on entend le plus souvent chez les PME. Voici un ordre de priorité simple, basé sur la façon dont les attaques arrivent réellement.

1. La surface externe : ce que les attaquants voient

Avant toute chose, il faut savoir ce que votre entreprise expose sur Internet : services ouverts, versions obsolètes, accès distants oubliés. C'est la première chose que scannent les robots d'attaque — en continu, sans distinction de taille d'entreprise.

Un audit externe se fait 100 % à distance, sans impact sur votre activité, et livre en quelques jours une liste priorisée de ce qu'il faut corriger. C'est le meilleur rapport valeur/prix pour débuter.

2. Microsoft 365 et le facteur humain

La majorité des incidents en PME ne commencent pas par une faille technique mais par un compte compromis : mot de passe deviné, MFA absent, e-mail de phishing. Une revue du tenant Microsoft 365 (MFA, règles de transfert, partages externes) et une campagne de phishing de sensibilisation couvrent ce risque pour quelques centaines de francs.

3. Le réseau interne, ensuite

Une fois l'extérieur et les comptes sécurisés, le pentest interne répond à la question suivante : « si quelqu'un entre, jusqu'où peut-il aller ? ». Comptes à privilèges, mots de passe faibles, partages de fichiers sensibles : c'est l'audit le plus révélateur, mais il a plus de valeur quand les bases sont déjà posées.

Concrètement, comment ça se passe ?

• Cadrage (30 min) : on définit ensemble le périmètre et les règles d'engagement, par écrit.
• Tests : à distance, sans perturbation, sur des fenêtres convenues.
• Rapport : un résumé pour la direction + le détail technique avec preuves, présenté en réunion courte.
• Retest : une fois vos corrections faites, on revérifie — inclus selon l'offre.

Notre audit externe initial est à 299 CHF (offre limitée) : c'est la porte d'entrée idéale pour savoir où vous en êtes, sans engagement.