Un client m'appelle en début d'année, paniqué. Son comptable venait de lui envoyer une facture d'environ 4 000 € pour un « audit de sécurité numérique » qu'il n'avait pas vraiment commandé. Trois semaines plus tard, il recevait un PDF de 60 pages avec des mots comme « surface d'attaque » et « durcissement », et pas un seul chantier concret à lancer dans sa boîte de 11 salariés. Voilà pourquoi je me méfie du mot « audit » autant que d'un devis de plombier un dimanche soir.
Et pourtant, un audit sécurité numérique petite entreprise reste l'une des meilleures dépenses que vous pouvez engager, à condition de savoir ce qu'il contient, ce qu'il coûte et ce qu'il exclut. Le problème n'est jamais l'audit en lui-même. C'est ce qu'on vous vend sous ce nom.
Points clés à retenir
- Un audit utile pour une petite structure tient rarement plus de 2 à 5 jours de travail réel.
- Le budget s'échelonne grosso modo de quelques centaines d'euros (scan externe automatisé) à plusieurs milliers d'euros (audit organisationnel complet).
- Demandez toujours un plan d'action priorisé : sans liste d'actions datées, vous avez acheté un rapport, pas un audit.
- Une TPE sans DSI peut réaliser elle-même 60 à 70 % du diagnostic avec des outils gratuits et deux jours de temps.
- Le vrai coût d'une attaque pour une petite entreprise se compte souvent en dizaines de milliers d'euros, arrêt d'activité inclus.
Un audit de sécurité, c'est un état des lieux — pas une promesse de blindage
Qu'est-ce qu'un audit de sécurité en entreprise, concrètement ? C'est un diagnostic : quelqu'un regarde votre système d'information, ses failles, ses accès, ses sauvegardes, vos pratiques, et écrit noir sur blanc ce qui vous expose. Il ne corrige rien. Il constate et il hiérarchise.
C'est précisément là que le malentendu naît. Beaucoup de dirigeants imaginent qu'après un audit, tout est réglé. Non. Vous payez un regard extérieur. Les travaux viennent après, et souvent, c'est vous ou votre prestataire informatique habituel qui les faites.
Ce que couvre réellement un audit
Un audit digne de ce nom balaie en général quatre zones :
- Le périmètre technique : serveurs, postes, messagerie, comptes utilisateurs, mises à jour, accès à distance.
- Les sauvegardes — et surtout leur restauration testée, ce que presque personne ne vérifie.
- L'organisation humaine : qui a les droits d'administrateur, qui peut valider un virement, qui ouvre les pièces jointes sans réfléchir.
- La conformité documentaire : registre des traitements, procédure en cas d'incident, clauses fournisseurs.
Sur le terrain, j'ai vu des audits vendus 5 000 € dont le rapport technique tenait sur huit pages et ne mentionnait même pas l'état des sauvegardes. Total waste of time, comme on dit chez nos voisins. Un audit sans analyse des sauvegardes, c'est un contrôle technique sans regarder les freins.
Faut-il le faire soi-même ou le confier à un prestataire ?
Les deux, dans cet ordre. Un audit interne d'abord, pour nettoyer le gros du ménage. Un audit externe ensuite, si votre exposition le justifie — données clients sensibles, secteur réglementé, exigence d'un donneur d'ordre, ou simplement envie d'un œil neuf.
Le piège classique du prestataire, c'est le rapport de 60 pages généré automatiquement par un scanner, avec un score global à 62/100 et aucune recommandation actionnable. Si on vous livre un score, fuyez. Si on vous livre une liste de 12 actions classées par risque et par coût, là vous avez quelque chose.
Quel est le prix d'un audit de sécurité informatique ?
La question la plus tapée au clavier, et la moins bien traitée sur le marché. Je vais vous donner des ordres de grandeur réalistes, pas des promesses commerciales.
Un audit flash automatisé, c'est-à-dire un scan externe de votre nom de domaine et de vos services exposés, tourne autour de quelques centaines d'euros, parfois gratuit si vous le faites vous-même. Un audit complet avec entretiens, revue des accès et plan d'action priorisé : comptez plutôt 2 000 à 6 000 € pour une petite entreprise selon le périmètre et le nombre de postes. Au-delà, vous payez souvent une marque ou une certification, pas nécessairement plus de travail réel.
Le facteur qui fait exploser la facture n'est pas votre taille, c'est le périmètre. Un audit de site web et un audit de tout le système d'information, ce n'est pas le même métier. Et pour le contexte : 47 % des PME françaises ont subi une cyberattaque en 2024, avec un coût moyen d'environ 50 000 € pour celles qui trinquent. À côté, un audit à 3 000 € ressemble à une assurance bon marché.
Les facteurs qui font vraiment varier le devis
Trois choses pèsent :
- Le nombre de postes et de serveurs à examiner.
- La présence ou non d'hébergement tiers, de cloud, de télétravail.
- Le niveau de restitution attendu : une simple note de synthèse ou un plan d'action détaillé sur 18 mois.
Demandez toujours combien de jours-homme sont vendus. Un audit à 4 000 € pour trois jours facturés, c'est cohérent. Un audit à 4 000 € pour « une demi-journée de scan automatique », c'est du détournement.
Comment réaliser un audit de sécurité informatique sans se ruiner
Si vous n'avez pas de budget, vous pouvez couvrir une bonne partie du diagnostic en autonomie. Je l'ai fait sur un projet associatif de 8 personnes : deux sessions de travail, une checklist, et on a remonté une quinzaine de failles, dont deux comptes administrateurs qui servaient à envoyer les newsletters. Voilà la méthode que je conseille.
Les étapes d'un audit en autonomie
- Inventaire : listez tous les outils, comptes et accès, y compris ceux que vous avez oubliés.
- Vérifiez la double authentification (MFA) sur la messagerie et les comptes bancaires. C'est le point le plus rentable de tout l'audit.
- Testez une restauration de sauvegarde. Pas une sauvegarde, une restauration. Lisez le résultat à voix haute, ça calme.
- Passez un scan externe gratuit sur votre nom de domaine pour voir ce que tout le monde voit.
- Écrivez la procédure « qui fait quoi et qui appelle qui » en cas d'incident. Une page suffit.
Vous aurez alors une idée précise de ce qu'un prestataire doit traiter, et vous ne vous ferez pas vendre une prestation qui recouvre ce que vous avez déjà fait.
Comment choisir le prestataire (et refuser les mauvais)
Trois exigences à poser dès le premier appel :
- Le nombre de jours-homme prévus, écrit noir sur blanc.
- Un plan d'action priorisé en sortie, pas un score.
- Les certifications réelles du prestataire, vérifiables. Pour les audits réglementés, on demande un prestataire qualifié PASSI ; pour un audit complet d'organisation, une certification ISO 27001 côté prestataire est un bon signal.
Et une question piège : « qui aura accès à mes données pendant l'audit ? » Si la réponse est floue, passez votre chemin.
Quel est le salaire d'un auditeur en cybersécurité ?
Question fréquente chez ceux qui envisagent de se reconvertir. En France, un débutant sur un poste d'auditeur junior se situe grosso modo dans la fourchette des salaires de la cybersécurité, autour de 35 000 à 45 000 € brut annuel ; un profil confirmé avec plusieurs années d'audit passe nettement au-dessus, et un expert avec certifications reconnues peut dépasser les 70 000 €. Ce sont des ordres de grandeur indicatifs : la région, le secteur (cabinet vs entreprise) et les certifications comptent énormément.
Ce qui compte pour vous, dirigeant, c'est le corollaire : ces profils valent cher, donc un audit facturé 400 € la journée complète est suspect. Soit vous payez un junior qui scanne, soit vous payez un vrai regard, mais le tarif honnête reflète le temps réel passé.
| Type d'audit | Périmètre | Budget indicatif | Convient à |
|---|---|---|---|
| Scan externe automatisé | Site, messagerie, services exposés | 0 à 400 € | TPE en démarrage |
| Audit interne autonome | Accès, sauvegardes, procédures | Temps interne | Toute petite structure |
| Audit complet avec plan d'action | SI + organisation | 2 000 à 6 000 € | PME avec données clients |
| Audit réglementé (PASSI) | Périmètre défini, formalisé | Au-delà de 6 000 € | Secteur régulé, donneur d'ordre exigeant |
Le vrai retour sur investissement n'est pas dans le rapport
J'ai accompagné une petite structure qui avait commandé un audit pour rassurer un client. Aucune faille majeure découverte — sinon deux comptes partagés et une sauvegarde jamais testée. Ils ont corrigé les deux en une semaine, coût zéro. Un an plus tard, aucune attaque. Impossible de prouver le lien de cause à effet, et je m'en fiche : ils ont dormi plus tranquilles.
Un audit qui n'aboutit pas à trois chantiers concrets lancés dans le mois suivant est un audit raté. Le rapport n'est qu'un outil. La vraie valeur, c'est ce que vous corrigez ensuite, et surtout ce que vous décidez de ne pas corriger parce que le risque est faible. Une bonne priorisation vaut mieux qu'une liste exhaustive de 200 recommandations dont vous ne ferez jamais la moitié.
Alors avant de signer un devis, une seule question à poser : « à quoi ressemblera mon plan d'action, et que pourrai-je lancer dès la semaine prochaine ? » Si la réponse est vague, gardez vos 4 000 € — et offrez-vous plutôt une journée de temps pour tester vos sauvegardes.
