Conseil en sécurité informatique : pourquoi un rapport d'audit ne suffit pas

Un audit de sécurité informatique dure deux à quatre semaines. Il produit un diagnostic, une liste de failles classées par criticité, un plan d'actions. Et puis, souvent, le cabinet qui l'a réalisé s'en va. Reste à trouver qui va corriger les failles, superviser le système au quotidien, et vérifier dans six mois que rien n'a régressé.

C'est là que le conseil en sécurité informatique change de nature selon qui le porte. Un cabinet livre un rapport. Un prestataire de services managés reste après le rapport  parce que l'infrastructure qu'il audite est aussi celle qu'il opère.

Ce que représente la menace pour une PME ou une ETI aujourd'hui

Les chiffres ont bougé, et pas dans le bon sens. Selon le panorama de la cybermenace 2025 publié par l'ANSSI en mars 2026, les TPE, PME et ETI représentent désormais 48 % des victimes de rançongiciel identifiées en France, contre 37 % l'année précédente. Autre donnée de l'agence, plus inquiétante encore sur le fond : 74 % de ces structures restent en dessous du niveau de sécurité « Essentiel » qu'elle recommande.

Ce n'est pas un hasard de ciblage. C'est un rapport coût/bénéfice pour l'attaquant : des données qui valent la peine, des défenses qui ne suivent pas. Le baromètre CESIN 2025-2026, mené auprès de 397 RSSI et directeurs cybersécurité, situe le phishing en tête des vecteurs d'attaque cités (55 %), devant l'exploitation de failles techniques (41 %) et les attaques passant par un prestataire tiers (35 %). Et parmi les entreprises touchées en 2025, 81 % rapportent un impact direct sur leur activité : arrêt de production, perte de chiffre d'affaires, atteinte à l'image.

Un audit révèle où sont les failles. Il ne les corrige pas, et il ne surveille rien le lendemain de sa restitution. Pour ça, il faut quelqu'un qui reste, c'est tout l'objet du SOC managé, qui prolonge l'audit par une supervision continue au lieu d'une photographie unique.

Le facteur humain, toujours en tête

D'après le baromètre CESIN 2026, 36 % des fuites de données recensées proviennent d'une erreur humaine ou d'une mauvaise configuration : un lien cliqué, un mot de passe réutilisé, un compte d'ex-salarié jamais désactivé. Les campagnes de phishing s'appuient de plus en plus sur des contenus générés par IA pour imiter des échanges internes crédibles, ce qui les rend plus difficiles à repérer qu'il y a deux ans.

Deux mesures réduisent ce risque sans alourdir le quotidien des équipes : des simulations de phishing régulières, et une revue périodique des droits d'accès. Rien de spectaculaire, c'est une question de discipline tenue dans la durée, pas d'outillage supplémentaire.

Le cadre réglementaire pèse de plus en plus sur les décisions

Quatre textes structurent aujourd'hui les obligations des entreprises, à des degrés différents selon secteur et taille :

• RGPD : encadre la collecte et la conservation des données personnelles ; toute violation doit être notifiée à la CNIL sous 72 heures.
• NIS2 : élargit les obligations de sécurité à un nombre croissant de secteurs — énergie, santé, numérique, transport — avec des exigences de notification renforcées. Notre guide pratique NIS2 détaille les mesures techniques à mettre en place.
• DORA : impose aux acteurs financiers des tests de résilience opérationnelle réguliers.
• ISO 27001 : reste une référence de gouvernance, utile pour rassurer clients et partenaires lors d'un appel d'offres.

Une non-conformité n'est plus seulement un risque juridique abstrait. Elle peut bloquer un contrat ou ralentir un audit client, les grands donneurs d'ordre exigeant de plus en plus cette conformité comme prérequis commercial avant de signer.

Pourquoi séparer audit et supervision est une fausse bonne idée

C'est le point sur lequel on revient le plus souvent avec nos clients. Beaucoup arrivent avec un rapport d'audit déjà en main, parfois excellent, parfois trop générique  et une question simple : et maintenant ?

Le problème d'un audit isolé, c'est qu'il photographie un instant T. Trois mois plus tard, un nouveau poste a été déployé, un accès a été ouvert pour un prestataire externe, une mise à jour n'est pas passée. Le rapport ne le sait pas. Chez IT Systèmes, l'audit n'est jamais une prestation à part : il s'intègre à l'infogérance, ce qui veut dire que les mêmes équipes qui identifient une faille sont celles qui la corrigent, puis qui surveillent qu'elle ne revienne pas. Notre méthode d'audit détaille les sept étapes de ce diagnostic initial.

Concrètement, cet accompagnement couvre quatre volets :

Audit et cartographie des risques, avec des outils en lecture seule et des tests planifiés hors production pour ne pas perturber l'activité pendant l'analyse — infrastructure, réseaux, cloud, usages métiers, et pour les applications critiques, des tests d'intrusion et campagnes de phishing simulé.

Supervision continue, portée par notre SOC, pour réduire le délai entre une alerte et son traitement. Un compte compromis détecté en quelques minutes coûte rarement plus qu'un mot de passe à réinitialiser. Le même compte détecté trois semaines plus tard peut avoir servi à exfiltrer des données client.

Gestion des accès : comptes nominatifs, séparation stricte entre profils standards et comptes d'administration, authentification à deux facteurs sur les accès distants et la messagerie.

Sauvegardes chiffrées, répliquées et conservées hors site, pour redémarrer vite après un incident et documenter la conformité lors d'un contrôle.

Pour une vue d'ensemble de ce périmètre, notre page cybersécurité et compliance détaille l'offre complète.

Comment évaluer un accompagnement en sécurité informatique

Un prestataire qui propose des solutions avant d'avoir audité votre système d'information mérite d'être questionné. Une démarche sérieuse commence toujours par un diagnostic, suivi d'une feuille de route et d'un suivi opérationnel, pas d'une liste de produits à installer parce qu'ils sont dans le catalogue.

Sur la fréquence : tous les 12 à 18 mois dans les secteurs sensibles (santé, finance, industrie, juridique), plutôt 24 à 36 mois ailleurs, à condition qu'une supervision continue prenne le relais entre deux revues  sinon l'intervalle est trop long pour rester pertinent. Certains événements imposent un audit sans attendre : migration cloud, fusion, ouverture d'un nouveau site exposé sur Internet.

Foire aux questions

Le conseil en sécurité informatique, c'est la même chose qu'un audit ? Non. L'audit est un diagnostic ponctuel, une photographie à un instant donné. Le conseil en sécurité informatique, tel qu'on le conçoit, couvre aussi ce qui se passe après : correction des failles identifiées, supervision continue, mise à jour de la posture de sécurité au fil des changements d'infrastructure.

Quels sont les piliers d'un accompagnement en sécurité informatique ? Sept volets complémentaires : gouvernance, analyse des risques et conformité, architecture de protection, supervision et SOC, continuité d'activité, gestion des incidents, sensibilisation des équipes. Un accompagnement sérieux évalue la maturité sur chacun avant de fixer une feuille de route.

À quelle fréquence faut-il auditer son système d'information ? Entre 12 et 18 mois dans les secteurs sensibles, 24 à 36 mois ailleurs si une supervision continue complète l'audit. Une migration cloud, une fusion ou une nouvelle exposition Internet justifient un audit anticipé, car c'est précisément à ces moments que la surface d'attaque s'élargit.

Comment IT Systèmes accompagne une PME sur ses obligations réglementaires ? On cartographie d'abord les données sensibles, les traitements et les flux, puis on identifie les textes applicables, RGPD, NIS2, DORA selon l'activité. Cette étape fait apparaître les écarts prioritaires. Vient ensuite un plan d'action concret, suivi dans la durée par les mêmes équipes qui gèrent l'infrastructure au quotidien plutôt que traité comme un exercice ponctuel.

‍