Cybersécurité

Un audit utile passe en revue ce qu’un attaquant essaierait d’abord :

• Les comptes : mots de passe, double authentification, droits trop larges, accès d’anciens salariés.
• Les sauvegardes : copie déconnectée et essai de restauration.
• Les postes et le réseau : mises à jour, protection des ordinateurs et des téléphones, Wi-Fi.
• La messagerie : réglages et exposition au hameçonnage.
• Le site web et les applications : versions, accès administrateur, données exposées.

Le livrable compte autant que l’analyse : un plan de correction classé par priorité, qui distingue ce que vous pouvez faire seul et ce qui demande un prestataire. Méfiez-vous d’un simple rapport de scan automatique, remis sans explication.

Une mission courante coûte 300 à 3 000 €, en 1 à 3 semaines. Le prix dépend du périmètre : nombre de postes, de serveurs et de sites, profondeur attendue, corrections comprises ou non.

Si seul votre site est concerné, une sécurisation de site web coûte 50 à 500 €, et un audit de site ou d’application 100 à 2 000 €. Pour un test d’intrusion, contactez un freelance pour une offre personnalisée, selon ce qu’il faut tester.

L’audit examine votre organisation et vos réglages pour repérer les faiblesses les plus probables. Le test d’intrusion, ou pentest, simule une attaque sur un périmètre défini et montre ce qui est réellement exploitable. Pour une première démarche, l’audit est souvent le meilleur point de départ : inutile de tester une porte que vous savez ouverte.

Le pentest se justifie plutôt pour une application qui traite des données sensibles, avant un lancement ou à la demande d’un client. Il se prépare par un accord écrit : périmètre, dates, contact d’urgence. L’article 323-1 du Code pénal punit en effet l’accès frauduleux à un système. Prévenez aussi votre hébergeur, dont les conditions peuvent encadrer ces tests.

Pour une TPE ou une PME sans exigence particulière, un consultant indépendant peut mener ce type d’audit. Demandez un exemple de rapport anonymisé et sa méthode : comprendrez-vous les priorités à sa lecture ?

Vérifiez avant de commander si un client, un assureur ou un texte impose un prestataire précis. La qualification PASSI, délivrée par l’ANSSI aux prestataires d’audit, est exigée dans certains cadres, et l’agence en publie la liste. Le dispositif public Cybermalveillance.gouv.fr référence de son côté des prestataires labellisés ExpertCyber.

1. Isolez les machines touchées du réseau, sans les éteindre : leur mémoire peut contenir des preuves. Débranchez aussi les sauvegardes connectées.
2. Conservez les traces : journaux, message de rançon, quelques fichiers chiffrés.
3. Ne payez pas de rançon : Cybermalveillance.gouv.fr rappelle que rien ne garantit la récupération des données.
4. Demandez de l’aide sur 17Cyber, l’assistance publique en ligne, et déposez plainte avant de réinstaller quoi que ce soit.

Si des données personnelles sont touchées, une notification à la CNIL peut s’imposer, si possible sous 72 heures. Pour un site infecté, commandez un nettoyage, et indiquez d’emblée la date et les signes de l’attaque.

Oui, mais précisez-le dans votre demande : toutes les offres ne les couvrent pas d’office. Listez donc ces comptes et les personnes qui y ont accès, pour les inclure au périmètre. Les protections de base restent simples : double authentification, adresse de récupération à votre nom, plus aucun mot de passe partagé.

Un compte déjà perdu est un autre sujet. Sa récupération dépend de la plateforme, et aucun prestataire ne peut la garantir : méfiez-vous de celui qui la promet.

Le strict nécessaire, et à son nom. Créez un compte dédié, avec des droits limités et une date de fin, plutôt que de transmettre vos mots de passe d’administrateur. Une consultation en lecture seule suffit souvent à la première étape.

Le rapport décrit vos failles : traitez-le comme un document confidentiel. Prévoyez un engagement de confidentialité, demandez où sont gardées les données collectées et quand elles seront supprimées. Une fois la mission terminée, fermez ces accès et changez tout ce qui a été partagé.