Ce sont les dix points que nous contrôlons systématiquement lors d'un premier état des lieux. Dans la grande majorité des PME, trois ou quatre révèlent un écart — et c'est presque toujours le même trio qui ressort.
1. Quand une restauration a-t-elle été testée pour la dernière fois ?
Pas « avons-nous des sauvegardes » : quand la dernière restauration réelle a-t-elle eu lieu. Un travail de sauvegarde peut se terminer en succès pendant des mois alors que la restauration échoue. Si personne ne peut répondre avec une date, considérez que la sauvegarde n'est pas vérifiée.
2. Existe-t-il une copie que le réseau ne peut pas atteindre ?
C'est le point qui sépare un incident d'une catastrophe. Un disque branché en permanence ou un NAS accessible avec les identifiants du réseau sont chiffrés en même temps que la production lors d'un rançongiciel. La règle 3-2-1 répond précisément à cette question.
3. L'authentification multifacteur est-elle active sur la messagerie ?
Le vol d'identifiants par hameçonnage est le premier mode d'entrée dans une PME. Un mot de passe seul ne protège plus une messagerie accessible depuis n'importe où. Commencez par les comptes d'administration et de direction : ce sont les plus ciblés.
4. Quels services sont accessibles depuis Internet ?
Bureau à distance ouvert « en attendant », interface d'administration publiée, NAS accessible pour dépanner un télétravailleur : ces ouvertures sont trouvées en quelques heures par des balayages automatiques. Faites la liste — elle est souvent plus longue que prévu.
5. Qui possède les comptes d'administration ?
Un mot de passe administrateur partagé entre plusieurs personnes, connu d'un prestataire parti, ou stocké dans un fichier sur le serveur concerné : les trois cas sont courants. Vérifiez aussi que les accès sont disponibles hors du système, sinon ils sont inaccessibles le jour où vous en avez besoin.
6. Les versions en place sont-elles encore supportées ?
Système des serveurs, système des postes, firmware des équipements réseau, version du NAS. Ce qui n'est plus supporté ne reçoit plus de correctifs de sécurité : les failles s'accumulent, publiques et documentées. C'est aussi ce qui permet de budgéter un renouvellement un an à l'avance plutôt que dans l'urgence.
7. Les droits sont-ils attribués par groupe ou au cas par cas ?
Des droits donnés nominativement ne sont jamais retirés. Le test est simple : la dernière personne partie a-t-elle encore accès à quelque chose ? Si vous ne pouvez pas le vérifier en cinq minutes, c'est déjà une réponse.
8. Les alertes techniques arrivent-elles à quelqu'un ?
Échecs de sauvegarde, alertes de disque, notifications d'onduleur : vérifiez l'adresse de destination. Nous trouvons régulièrement des rapports envoyés à un salarié parti depuis deux ans, ou classés automatiquement par une règle de messagerie. Une alerte que personne ne lit n'existe pas.
9. Le réseau est-il segmenté ?
Les visiteurs, les téléphones personnels, les imprimantes et les serveurs sont-ils sur le même réseau ? La séparation du Wi-Fi invité est la mesure la plus rentable de toute cette liste : quelques heures de configuration pour supprimer un risque permanent.
10. L'infrastructure est-elle documentée ?
Plan d'adressage, affectation des ports, règles de firewall, comptes de service, contrats et dates de fin de support. Une infrastructure non documentée coûte cher au premier incident : on cherche avant de réparer, et le temps de recherche se paie en indisponibilité.
| Écarts constatés | Ce que cela signifie |
|---|---|
| 0 à 1 | Situation saine. Un point de contrôle annuel suffit. |
| 2 à 4 | Cas le plus fréquent. Rien d'alarmant, mais des chantiers à planifier — en commençant par les points 1 et 2. |
| 5 et plus | Le sujet n'est plus le confort, c'est le risque. Un incident aurait aujourd'hui un impact difficilement absorbable. |
Le trio qui ressort presque toujours
Sur ces dix points, trois reviennent dans l'immense majorité des audits : la restauration jamais testée, l'absence de copie hors d'atteinte du réseau, et les alertes envoyées dans le vide.
Aucun des trois ne relève de l'incompétence. Ils relèvent du temps qui passe : tout a été correctement installé, puis plus personne n'a regardé. C'est exactement ce que couvre un contrat d'infogérance — la surveillance continue, pas l'installation.
Et ensuite ?
Ces dix questions donnent une photographie. Un état des lieux complet va plus loin : il vérifie les réponses sur le terrain, mesure ce qui sature, relève les versions réelles et classe les risques par priorité, avec un ordre de traitement et une estimation.
C'est précisément l'objet de notre audit informatique offert : une synthèse lisible par un dirigeant, qui vous appartient même si vous décidez de faire réaliser les travaux ailleurs.
Sources & pour aller plus loin
Les références officielles sur lesquelles s'appuyer pour approfondir. Les liens ouvrent des sites tiers, dont le contenu peut évoluer.
Questions fréquentes
Peut-on faire cette vérification soi-même ?
Les dix questions se posent sans compétence technique particulière, et les poser vous donnera déjà une bonne idée de votre niveau de risque.
Ce qu'un regard extérieur apporte en plus, c'est la vérification des réponses : entre ce qui est censé fonctionner et ce qui fonctionne réellement, l'écart est souvent la partie intéressante.
À quelle fréquence refaire un état des lieux ?
Une fois par an suffit dans un environnement stable, et systématiquement après un changement significatif : déménagement, remplacement de serveur, changement de prestataire, croissance rapide des effectifs.
Faut-il donner des accès administrateur pour un audit ?
Pas nécessairement pour un premier état des lieux : une grande partie des constats se fait par observation et par échange avec vos interlocuteurs. Si un accès est nécessaire pour vérifier un point précis, il est demandé explicitement, utilisé en votre présence, puis restitué.