Un état des lieux, un document, des décisions.
La plupart des entreprises ne savent pas exactement ce qu'elles ont. Les systèmes se sont empilés, les prestataires se sont succédé, les mots de passe administrateur circulent depuis longtemps. Personne n'a de vue d'ensemble.
L'audit d'entrée produit cette vue d'ensemble, en quelques jours.
Ce que je regarde
Infrastructure et cloud
Ce qui tourne, où, sur quoi, et depuis quand. Ce qui n'est plus supporté. Ce qui coûte sans servir.
Identité et accès
Qui peut faire quoi. Combien de comptes à privilèges existent, et combien sont encore utilisés. L'état réel de l'authentification forte.
Résilience
Ce qui est sauvegardé, ce qui ne l'est pas, et ce qui se passe concrètement en cas de perte. La question centrale n'est pas « avez-vous des sauvegardes » mais « quand a-t-on restauré pour la dernière fois ».
Dépendances
Ce qui tient sur une seule personne, un seul contrat, un seul serveur.
La relation d'infogérance
Le contrat, le périmètre réel, les SLA constatés face aux SLA facturés, et la réversibilité : si vous vouliez changer de prestataire demain, le pourriez-vous ? Qui détient les accès, les licences, la documentation ?
Ce que vous recevez
- Une cartographie de l'existant
- Une liste de risques priorisés, avec l'effort associé à chacun
- Une feuille de route à douze mois
Le rapport est organisé en quatre colonnes.
| Colonne | Contenu |
|---|---|
| Prestataire | Ce qui relève de son périmètre contractuel |
| Vous | Budget refusé, décision reportée, périmètre jamais demandé |
| Personne | Ce qui n'est dans le contrat de personne |
| Source | Vérifié, déclaré, ou non testé |
La troisième colonne porte l'essentiel de la valeur : c'est l'angle mort dont les deux parties découvrent l'existence le jour de l'incident. La quatrième dit ce qui a été réellement vérifié et ce qui repose sur du déclaratif — un constat non testé n'est pas un constat.
Restitution commune. Le rapport est présenté à vous et à votre prestataire, dans la même pièce. Un rapport remis en secret empoisonne une relation de travail ; un rapport présenté ensemble la remet à plat.
Les constats sont adossés au référentiel CyberFundamentals du Centre pour la Cybersécurité Belgique, pour que chacun soit vérifiable indépendamment de mon avis. Il s'agit d'une analyse d'écarts, pas d'une vérification officielle CyFun — celle-ci relève d'un assesseur accrédité.
Le document vous appartient. Il est utilisable avec n'importe quel prestataire, y compris sans moi.
Ce que ce n'est pas
Ce n'est pas un scan automatisé accompagné d'un rapport de deux cents pages. Ce n'est pas non plus un prétexte commercial : l'audit se conclut parfois par « il n'y a rien d'urgent chez vous », et c'est un résultat valable.
Je ne reprends pas ce que j'ai audité. Ni l'infogérance de l'environnement examiné, ni pendant, ni dans les douze mois qui suivent.
Je ne recommande aucun prestataire. Si vous décidez de changer, je vous aide à écrire le cahier des charges et à comparer les réponses. Je ne nomme personne.
Le rapport ne contient aucun devis. Il dit quoi corriger, pourquoi et dans quel ordre. Ce qui se passe ensuite est votre décision, pas ma proposition commerciale.