Que doit vérifier un diagnostic cybersécurité ?

Commencez par recenser les outils dont vos équipes dépendent : postes, serveurs éventuels, messagerie, logiciels de gestion, services cloud et accès à distance. Associez-les aux tâches qu’ils permettent d’accomplir. Une application utilisée par trois personnes peut être indispensable pour facturer toute l’entreprise.

Le périmètre du diagnostic doit être défini avec votre interlocuteur informatique. Un questionnaire aide à amorcer l’état des lieux ; l’examen de l’infrastructure demande aussi des vérifications techniques. Voici les principaux points à passer en revue. ^{[3, 4]}

• Les équipements et les logiciels : sont-ils encore maintenus par leurs éditeurs ? Les correctifs de sécurité sont-ils appliqués, y compris aux équipements réseau ?
• Les comptes et les accès : les départs sont-ils suivis de la fermeture des comptes ? Les accès sensibles sont-ils protégés par une authentification multifacteur, avec une vérification supplémentaire au mot de passe ?
• Les droits et les connexions : qui peut administrer les systèmes, consulter les dossiers sensibles ou se connecter depuis l’extérieur ? Les accès des prestataires sont-ils connus ?
• Les protections et les alertes : les postes sont-ils couverts et les outils correctement configurés ? Qui reçoit les alertes et vérifie leur gravité ?
• Les sauvegardes : quelles données sont couvertes, où sont les copies et quand leur restauration a-t-elle été testée ?

Corriger d’abord ce qui expose le plus votre activité

Chaque faiblesse doit être reliée à une conséquence possible : accès à des données clients, arrêt de la production, fraude ou impossibilité de travailler. La priorité dépend de la gravité, de l’exposition et des moyens déjà en place. Une vulnérabilité critique accessible depuis Internet peut nécessiter une action immédiate. ^{[2, 7]}

Selon les constats, les premières corrections peuvent être la suppression d’un accès inutile, la mise à jour d’un équipement exposé ou l’activation de l’authentification multifacteur. Limiter les droits d’administration et séparer les accès entre les différentes parties du réseau aide aussi à réduire la portée d’un compte ou d’un poste compromis. ^[8]

Vérifiez également la réaction aux alertes : qui les analyse, qui peut isoler un équipement et dans quelles conditions ? La présence d’un outil de protection doit s’accompagner d’une organisation capable d’agir. Côté utilisateurs, une consigne simple pour signaler un message ou une connexion inhabituelle complète ces mesures. ^{[3, 8]}

Quand compléter le diagnostic par un test d’intrusion ?

Un test d’intrusion, ou pentest, consiste à examiner si des faiblesses peuvent être exploitées dans un périmètre autorisé. Un spécialiste simule certaines actions d’un attaquant pour évaluer ce qui pourrait être accessible et les conséquences possibles. ^[4]

Un scan automatisé recherche principalement des vulnérabilités connues ; le pentest approfondit leur exploitation possible et les enchaînements de faiblesses. Il peut porter sur un service accessible depuis Internet, une application ou des accès internes. Le choix dépend des risques identifiés et des changements apportés à votre informatique. ^[4]

Convenez par écrit des systèmes concernés, des autorisations, des horaires, des méthodes permises et des conditions d’arrêt. Prévoyez un rapport compréhensible et une vérification après correction. Un pentest reste limité à son périmètre et au temps consacré : il ne garantit pas l’absence de toutes les failles. Les corrections urgentes déjà identifiées ne doivent pas attendre sa réalisation. ^[4]

Après une attaque, en combien de temps pourriez-vous repartir ?

Le diagnostic doit poser cette question dès le départ. Pour chaque application indispensable, définissez avec les utilisateurs deux objectifs : le délai de remise en service visé, appelé RTO, et la perte de données maximale acceptable, appelée RPO et exprimée en durée. ^{[5, 6]}

Examinez ensuite la protection des copies. Des sauvegardes accessibles avec les mêmes comptes que le reste de l’informatique peuvent être exposées au même incident. Il faut prévoir des accès dédiés et des copies suffisamment isolées, notamment hors ligne selon la stratégie retenue. Vérifiez aussi les données hébergées dans le cloud : leur présence en ligne ne renseigne pas, à elle seule, sur les possibilités de récupération. ^{[3, 5]}

Organisez un test encadré, sans perturber la production, avec une application représentative. Il faut retrouver les données, mais aussi les accès et les services nécessaires pour travailler. Faites réaliser une opération habituelle par un utilisateur et mesurez le temps écoulé. Vous saurez alors ce que votre organisation peut réellement rétablir. ^{[5, 6]}

Cette préparation alimente le plan de reprise d’activité (PRA) : ordre de redémarrage, moyens nécessaires et personnes responsables. Le plan de continuité d’activité (PCA) prévoit comment maintenir les tâches essentielles pendant l’interruption. Après une compromission, la remise en service doit intégrer les contrôles de sécurité et le traitement de la cause de l’intrusion. Restaurer des fichiers ne règle pas, à lui seul, l’incident. ^[6]

Quel résultat attendre à la fin du diagnostic ?

Un diagnostic utile doit permettre à la direction de décider. Demandez une synthèse qui précise les systèmes examinés, les limites des vérifications et les conséquences des principaux risques. Le plan d’action doit indiquer les corrections, leur priorité, un responsable et les moyens nécessaires. ^[7]

Vous devriez pouvoir répondre à trois questions simples : que devons-nous corriger maintenant, que faut-il approfondir et quelle capacité de reprise avons-nous effectivement démontrée ? Les points encore inconnus doivent rester visibles, avec la vérification à prévoir.

Planifiez ensuite des points de suivi et de nouveaux contrôles après une évolution importante : changement de prestataire, nouvel outil cloud ou ouverture d’un site. La cybersécurité se maintient au fil des changements de l’entreprise. ^[7]