Audit de cybersécurité
Audit d'architecture de sécurité
Rappel sous 4 h ouvrées, lun.-ven. 9 h-18 h. Appel de cadrage gratuit et sans engagement.
- Dès 5 000 € HT
- Intervenant nommé dans la proposition, CV joint
- Aucune licence revendue
- Rappel sous 4 h ouvrées
Audit · 01
Pourquoi auditer l'architecture
Beaucoup d'incidents graves ne tiennent pas à une faille unique : ils tiennent à un réseau où tout communique avec tout. Un poste compromis par un courriel piégé atteint alors les serveurs de fichiers, les consoles d'administration et parfois les sauvegardes. L'audit d'architecture regarde ces choix de conception : ce qui est séparé, ce qui ne l'est pas, par où passe l'administration, ce qui resterait debout si un poste tombait.
Lire la suiteRéduire
Un test d'intrusion prouve un chemin d'attaque en l'exploitant. L'audit d'architecture examine l'ensemble des chemins possibles, y compris ceux qu'un test de quelques jours n'aurait pas eu le temps d'emprunter. Il est particulièrement utile avant une refonte du réseau, une migration vers le cloud, un rapprochement de deux entités, après un incident, ou pour préparer une analyse de risque ou une démarche ISO 27001.
Audit · 02
Ce que nous examinons
Le périmètre est fixé au cadrage : un site ou plusieurs, l'informatique de gestion seule ou avec l'environnement industriel, les services cloud reliés à l'annuaire.
Cloisonnement : zones réseau, filtrage entre zones, séparation des usages (bureautique, serveurs, administration, sauvegarde, industriel).
Flux entrants et sortants : ce qui est exposé sur Internet, ce qui sort vers Internet, accès des prestataires et des tiers.
Administration : comptes dédiés, postes d'administration, bastion, modèle d'administration en niveaux recommandé par l'ANSSI.
Accès distants : VPN, bureau à distance, accès des infogérants, authentification multifacteur.
Sauvegardes : copies hors ligne ou immuables, isolement des consoles de sauvegarde, tests de restauration.
Journalisation : quels journaux sont collectés, combien de temps ils sont conservés, qui les lit.
Audit · 03
Déroulé, durée et référentiels
Comptez 4 à 8 jours selon le nombre de sites, de zones et d'environnements. L'essentiel du travail se fait sur documents et en entretien ; la lecture des configurations permet de vérifier que le schéma correspond à ce qui tourne réellement, ce qui est rarement tout à fait le cas.
Les écarts sont mesurés par rapport aux publications de l'ANSSI, en particulier le guide d'hygiène informatique et les recommandations relatives à l'administration sécurisée des systèmes d'information. Chaque recommandation du rapport renvoie à sa source.
Audit · 04
Ce que vous recevez
Un schéma d'architecture annoté : l'existant tel qu'il fonctionne, avec les points faibles repérés.
Une analyse d'écarts : chaque constat, sa preuve, son niveau de risque et l'effort de correction.
Une architecture cible réaliste pour votre taille et votre budget.
Une feuille de route en trois temps : actions rapides, projets de quelques mois, chantiers de fond.
Une synthèse de deux pages pour la direction.
Une réunion de restitution avec l'équipe informatique et, si vous le souhaitez, votre infogérant.
Audit · 05
Combien coûte un audit d'architecture ?
Prix hors taxes, lus dans notre grille tarifaire publique.
Voir tous nos tarifsL'audit d'architecture démarre à 5 000 € HT pour une PME : un site principal, une salle serveur ou un hébergement, quelques zones réseau. Le prix monte avec le nombre de sites, d'environnements (cloud, industriel) et d'entretiens. Il est écrit dans la proposition, avec le nombre de jours prévus.
Cas type
Pour illustration (ce n'est pas une référence client) : une PME industrielle de 120 salariés, deux sites reliés par VPN, des serveurs sur site et Microsoft 365. Six jours : revue documentaire, trois entretiens, lecture des règles des deux pare-feu et de l'annuaire, restitution. Exemple de constat que ce type d'audit fait apparaître : des postes bureautiques qui peuvent joindre directement la console de sauvegarde.
Audit · 06
Ce que nous attendons de vous
Un interlocuteur technique disponible quelques heures sur la période.
Les documents existants, même anciens ou partiels : schémas, inventaires, règles de pare-feu.
Un accès en lecture seule aux configurations, ou des exports.
L'accord de votre infogérant si une partie du système est gérée par lui.
Déroulé
Comment se déroule la prestation
Durée type : 4 à 8 jours. Les dates exactes figurent dans la proposition, avec le nom de l'intervenant.
- 01
Cadrage
Appel de 20 minutes, liste des documents utiles, proposition écrite sous 48 h ouvrées.
- 02
Revue documentaire
Schémas, matrices de flux, inventaires, politiques : ce que vous avez, même ancien ou incomplet.
- 03
Entretiens
Deux à quatre entretiens avec l'équipe informatique et, si besoin, votre infogérant.
- 04
Vérifications
Lecture des configurations clés (pare-feu, commutateurs, annuaire, sauvegardes) pour comparer le schéma à la réalité.
- 05
Restitution
Schéma annoté, écarts priorisés, architecture cible et feuille de route présentés à vos équipes.
Le pôle Audit de cybersécurité
La vue d'ensemble du pôle et les prestations voisines, avec leurs prix hors taxes.
Nos guides sur le sujet
Questions fréquentes
Faut-il fournir nos schémas d'architecture ?
C'est utile mais pas indispensable. Nous reconstituons l'architecture réelle à partir des configurations et des entretiens, puis nous la comparons à la documentation existante. Le schéma à jour fait partie des livrables.
Faut-il arrêter la production ?
Non. L'audit d'architecture ne lance aucun test intrusif : il s'appuie sur des documents, des entretiens et la lecture des configurations. Vos équipes continuent de travailler normalement.
Quelle différence avec un pentest interne ?
Le pentest interne part d'un poste et exploite réellement un chemin jusqu'aux droits d'administration. L'audit d'architecture examine tous les choix de conception, y compris ceux qu'aucun test de quelques jours ne mettrait en défaut. Le premier apporte une preuve, le second une vision complète et une cible.
Que se passe-t-il si vous trouvez un problème grave pendant l'audit ?
Nous vous prévenons le jour même, sans attendre le rapport, avec la mesure d'urgence à prendre. C'est le cas par exemple d'une interface d'administration exposée sur Internet sans authentification forte.
Qui reçoit le rapport ?
La personne désignée dans la proposition, en général le dirigeant ou le DSI. Le rapport est transmis chiffré. La durée de conservation de notre copie de travail est écrite dans la proposition.
Un appel de 20 minutes suffit pour cadrer votre besoin
Nous rappelons sous 4 h ouvrées, du lundi au vendredi, de 9 h à 18 h. La proposition écrite suit sous 48 h ouvrées : périmètre, prix, dates, nom et CV de l'intervenant.