Audit de cybersécurité
Audit de configuration et durcissement
Rappel sous 4 h ouvrées, lun.-ven. 9 h-18 h. Appel de cadrage gratuit et sans engagement.
- Dès 2 500 € HT
- Intervenant nommé dans la proposition, CV joint
- Aucune licence revendue
- Rappel sous 4 h ouvrées
Audit · 01
Pourquoi auditer la configuration
Les réglages par défaut d'un système sont pensés pour qu'il fonctionne, rarement pour qu'il résiste. Beaucoup d'intrusions n'exploitent aucune faille logicielle : elles profitent d'un mot de passe d'administrateur local identique sur tous les postes, d'un ancien protocole d'authentification resté actif, de macros autorisées partout ou d'une interface d'administration ouverte.
Lire la suiteRéduire
Ces écarts ne portent pas de numéro CVE : un scan de vulnérabilités ne les voit pas. L'audit de configuration les cherche un par un, en comparant chaque réglage à une valeur de référence, et en tenant compte de vos contraintes pour ne pas recommander ce qui casserait une application métier.
Audit · 02
Ce que nous vérifions
Postes Windows : administrateurs locaux et LAPS, macros, pare-feu local, chiffrement BitLocker, mises à jour.
Serveurs Windows et Linux : services inutiles, protocoles anciens (SMBv1, NTLMv1, LLMNR), comptes de service, journalisation.
Annuaire : politiques de mots de passe, stratégies de groupe, délégations les plus risquées. L'analyse complète relève de l'audit Active Directory.
Équipements réseau : pare-feu, commutateurs, Wi-Fi, interfaces d'administration exposées.
Messagerie et Microsoft 365 : authentification multifacteur, accès conditionnel, règles de transfert. L'analyse complète relève de l'audit cloud.
Audit · 03
Référentiels et méthode
Les valeurs de référence viennent des CIS Benchmarks, publiés par le Center for Internet Security pour chaque système, et des guides de l'ANSSI (guide d'hygiène informatique, recommandations de configuration de Windows, de Linux et d'Active Directory). Le référentiel retenu est écrit dans la proposition.
Nous travaillons sur un échantillon représentatif plutôt que sur tout le parc : un poste par profil (bureautique, nomade, administration), chaque serveur critique, chaque équipement de bordure. La collecte se fait par scripts en lecture seule ou par exports ; chaque écart est ensuite vérifié à la main et replacé dans son contexte.
Audit · 04
Ce que vous recevez
Une matrice de conformité : chaque point de contrôle, l'état constaté, la valeur attendue, la source.
Les écarts priorisés : risque, effort de correction, effet de bord possible sur la production.
Un guide de durcissement : les réglages à appliquer, par stratégie de groupe ou par script quand c'est possible.
Une réunion de restitution avec l'équipe informatique ou votre infogérant.
Audit · 05
Combien coûte un audit de configuration ?
Prix hors taxes, lus dans notre grille tarifaire publique.
Voir tous nos tarifsL'audit de configuration démarre à 2 500 € HT pour un périmètre de PME de 20 à 50 postes, soit 2 à 5 jours de travail. Pour un parc plus important, le prix est calculé sur le nombre de profils et d'équipements à couvrir et écrit dans la proposition. Le contre-test, après vos corrections, coûte 1 500 € HT.
Cas type
Pour illustration : une PME de 40 postes avec deux serveurs Windows, un pare-feu et Microsoft 365. Trois jours : un poste et un serveur par profil, le pare-feu, les réglages de messagerie, puis la restitution.
Audit · 06
Ce que nous attendons de vous
Un compte en lecture seule, ou des exports de configuration réalisés par votre équipe.
L'accès à un poste type de chaque profil.
Un interlocuteur qui connaît les applications métier et leurs contraintes.
L'accord de votre infogérant s'il administre une partie du parc.
Déroulé
Comment se déroule la prestation
Durée type : 2 à 5 jours (PME de 20 à 50 postes). Les dates exactes figurent dans la proposition, avec le nom de l'intervenant.
- 01
Cadrage
Appel de 20 minutes, puis proposition écrite sous 48 h ouvrées : périmètre, référentiel, dates, prix, nom et CV de l'intervenant.
- 02
Collecte
Entretiens, revue des documents et extraction des configurations, avec des comptes en lecture seule quand c'est possible.
- 03
Analyse
Chaque écart est vérifié à la main, puis coté selon son exploitabilité et son impact sur votre activité.
- 04
Restitution
Rapport écrit, synthèse pour la direction et réunion de restitution avec vos équipes.
- 05
Suivi
Point sur l'avancement des corrections ; contre-test en option, 1 500 € HT.
Le pôle Audit de cybersécurité
La vue d'ensemble du pôle et les prestations voisines, avec leurs prix hors taxes.
Nos guides sur le sujet
Questions fréquentes
Quelle différence avec un scan de vulnérabilités ?
Un scan cherche des vulnérabilités connues, référencées par un numéro CVE. L'audit de configuration évalue le paramétrage de sécurité au regard d'un référentiel, y compris là où aucune vulnérabilité n'est publiée : protocoles anciens, droits excessifs, options désactivées.
Faut-il arrêter la production ?
Non. La collecte se fait en lecture seule, par scripts ou exports, sans modifier aucun réglage. Les corrections restent entre vos mains ou celles de votre infogérant, au rythme que vous choisissez.
Auditez-vous tout le parc ?
Non, un échantillon représentatif suffit : les postes d'un même profil sont configurés de la même façon. Si nous constatons des écarts entre postes d'un même profil, nous le signalons, car c'est déjà un constat.
Pouvez-vous appliquer les corrections ?
Oui, en expertise à la journée (à partir de 800 € HT par jour), ou votre infogérant les applique à l'aide du guide de durcissement, rédigé pour lui. Certaines corrections se testent d'abord sur quelques postes.
Le résultat sert-il pour ISO 27001 ou NIS2 ?
Oui. La gestion des configurations est une mesure de l'annexe A d'ISO 27001 (mesure 8.9), et la directive NIS2 cite l'hygiène informatique parmi les mesures attendues. La matrice de conformité sert de preuve.
Un appel de 20 minutes suffit pour cadrer votre besoin
Nous rappelons sous 4 h ouvrées, du lundi au vendredi, de 9 h à 18 h. La proposition écrite suit sous 48 h ouvrées : périmètre, prix, dates, nom et CV de l'intervenant.