En bref
Un audit de sécurité informatique est une évaluation structurée, sur un périmètre convenu à l’avance, de la capacité d’un système d’information à résister à une attaque. Il se déroule en cinq temps : cadrage, collecte, analyse et tests, restitution, vérification des correctifs. Il livre un rapport priorisé avec des preuves. Le prix dépend du périmètre : chez Reconmind, à partir de 1 290 € pour un audit cloud, 1 490 € pour un test d’intrusion web et 2 400 € pour un audit d’infrastructure Active Directory.
Qu’est-ce qu’un audit de sécurité informatique, exactement ?
« Audit de sécurité : définition » désigne une famille de prestations, pas une prestation unique. Le mot recouvre des travaux qui n’ont ni la même méthode, ni la même durée, ni le même livrable. Avant de demander un devis, il faut donc savoir quelle question vous posez.
Les types d’audit les plus courants se distinguent par leur objet : l’audit d’architecture (la conception du réseau et des flux), l’audit de configuration (les paramètres des systèmes, des annuaires, du cloud), l’audit de code source (le code de l’application, lu par un analyste), le test d’intrusion (un analyste attaque le système pour démontrer ce qui est exploitable) et l’audit organisationnel (politiques, rôles, procédures, gestion des incidents).
Un audit n’est pas un scan. Le guide NIST SP 800-115 distingue les techniques de revue, d’identification et d’analyse de la cible, puis de validation des vulnérabilités : un audit sérieux combine ces étages et ne livre pas une simple liste produite par un outil.
Quels livrables exiger à la fin d’un audit ?
- Une synthèse de direction d’une à deux pages, lisible sans compétence technique, qui dit ce qui est grave et pourquoi.
- Un rapport technique où chaque constat porte une description, une preuve reproductible, un impact, une gravité justifiée et une recommandation précise.
- Un plan de correction priorisé, qui distingue les corrections rapides de celles qui demandent un chantier.
- Le périmètre couvert et celui qui ne l’a pas été : un audit qui ne dit pas ce qu’il n’a pas regardé laisse croire à tort que tout a été examiné.
- Un contre-test des correctifs, ou au minimum les conditions de sa réalisation.
- Les éléments utilisables dans un dossier de conformité ou une réponse à un client, sans exagérer ce qu’ils prouvent.
Combien coûte un audit de sécurité informatique ?
Le prix d’un audit dépend presque entièrement du nombre de jours d’analyste nécessaires. Les facteurs qui comptent : le nombre de rôles utilisateurs à examiner, la taille de la surface (nombre d’applications, de domaines, de comptes), le niveau de preuve attendu et les contraintes d’exploitation, par exemple des fenêtres de test réduites.
Chez Reconmind, les prix d’entrée sont publics, avec le périmètre qu’ils couvrent. Un audit cloud démarre à 1 290 € pour un compte ou un abonnement en lecture seule. Un test d’intrusion web démarre à 1 490 € pour un parcours critique. Un audit de code démarre à 1 900 € pour le module le plus sensible. Un test d’intrusion interne ou un audit Active Directory démarre à 2 400 €, pour un site et ses segments principaux ou pour un domaine. Ce sont des prix « à partir de » : le devis exact est fixé au cadrage.
Pour réduire un devis sans réduire la qualité, réduisez le périmètre plutôt que la profondeur : un parcours critique testé à fond vaut mieux qu’un survol de tout le système.
Quel type d’audit choisir selon votre situation ?
- Une application web ou une API porte votre chiffre d’affaires : un test d’intrusion, éventuellement complété d’un audit de code sur le module le plus sensible.
- Vous venez de migrer vers le cloud ou de multiplier les comptes : un audit de configuration cloud, qui cherche les chemins de privilèges.
- Vous craignez un rançongiciel : un audit interne et Active Directory, qui mesure la distance entre un poste ordinaire et l’administration du domaine.
- Un client ou un régulateur demande des preuves : un audit dont le rapport est rédigé pour être transmis, associé à la démarche de conformité qui s’applique.
- Vous ne savez pas par où commencer : un diagnostic de surface externe, court, qui révèle ce qu’un inconnu voit de votre entreprise depuis Internet.
Comment reconnaître un audit qui n’en est pas un ?
Trois signes ne trompent pas. Le premier : aucun cadrage écrit, ni autorisation, ni périmètre. Le deuxième : un rapport dont les constats ne contiennent ni requête ni preuve, ce qui est la signature d’une sortie d’outil rebaptisée. Le troisième : une promesse d’absence de vulnérabilité. Un audit mesure un état à un moment donné sur un périmètre donné ; il ne prouve jamais l’absence de défaut.
Demandez enfin un extrait anonymisé d’un rapport précédent, ou un rapport d’exemple fictif si le prestataire ne peut pas en montrer un réel. C’est le moyen le plus rapide de savoir ce que vous achetez.
À retenir
- 1« Audit de sécurité » désigne une famille de prestations : précisez la question avant de demander un prix.
- 2Un bon audit se reconnaît à son cadrage écrit, à ses preuves reproductibles et à son contre-test des correctifs.
- 3Le prix suit le nombre de jours d’analyste : un périmètre plus étroit réduit la facture sans sacrifier la profondeur.
- 4Un audit ne prouve jamais l’absence de vulnérabilité ; il mesure un état sur un périmètre et à une date.
Comment se déroule un audit de sécurité, étape par étape ?