Que voit un attaquant de nous, sans aucun accès ?
Services ouverts, interfaces d'administration exposées, certificats mal configurés, composants obsolètes. L'état des lieux de votre surface d'attaque.
Audit de sécurité informatique
Ce qu'un attaquant peut voir, exploiter et atteindre chez vous
Trois formats d'audit pour les PME et ETI : depuis Internet, dans vos applications, ou à l'intérieur de votre réseau. Chaque mission se termine par un rapport priorisé et une attestation à transmettre à votre client ou assureur.
Rapport en françaisAttestation de réalisationTests non destructifsHébergé en France
Référentiels et certifications
OWASP Top 10 / ASVSPTESANSSINIS2ISO 27001RGPDOSCPCEH
Le point de départ
Trois questions auxquelles un audit répond
Chacune correspond à un format d'audit. Si l'une vous laisse hésitant, c'est par elle qu'il faut commencer.
Un client connecté peut-il voir les données d'un autre ?
Une fois authentifié, un utilisateur ordinaire peut souvent aller bien plus loin que prévu. C'est là que se cachent les failles les plus graves.
Depuis un poste piégé, peut-on prendre le contrôle du domaine ?
Un e-mail piégé, un mot de passe volé, un prestataire branché sur le réseau. La plupart des rançongiciels commencent ainsi.
Nos formats d'audit
Évaluation externe, test d'intrusion ou audit interne
Trois profondeurs d'analyse. Le cadrage de 30 minutes sert à choisir la bonne.
Comparatif
Jusqu'où va chaque format
extérieur
Surface exposée
attaque
Exploitation des failles
connecté
Dans les applications
intérieur
Réseau et Active Directory
Évaluation externe
Test d'intrusion
Audit interne
Les formats se combinent : un test d'intrusion externe suivi d'un audit interne couvre toute la chaîne, de la porte d'entrée jusqu'au cœur du système d'information.
Méthode
Comment se déroule un audit de sécurité
Cadrage
30 minutes pour fixer le périmètre et vos inquiétudes.
Autorisation
Autorisation écrite signée, comptes de test si besoin.
Tests
Non destructifs, sans déni de service, sur créneaux validés.
Vérification
Chaque constat vérifié à la main, faux positifs écartés.
Rapport
Preuves, priorisation, plan de remédiation, attestation.
Restitution
Présentation des résultats à la direction et à l'IT.
Faille critique découverte ? Vous êtes alerté immédiatement, sans attendre le rapport.
Priorisation
Corriger d'abord ce qui est vraiment attaqué
Un score de gravité seul ne suffit pas. Chaque vulnérabilité est classée en croisant sa criticité, sa probabilité d'exploitation et son usage avéré par des attaquants. Vous obtenez une liste ordonnée, pas une pile d'alertes.
CVSS
Criticité
Gravité technique, notée de 0 à 10
EPSS
Probabilité
Chance d'exploitation dans les 30 jours
KEV
Exploitation avérée
Faille déjà utilisée (catalogue CISA)
Livrables
Un rapport d'audit que vous allez utiliser
Pensé pour deux lecteurs : la direction lit la synthèse, l'équipe technique suit le plan.
Synthèse de direction
Niveau de risque et décisions à prendre, sans jargon.
Méthodologie et périmètre
Ce qui a été testé, comment et quand.
Vulnérabilités priorisées
Chacune avec preuve, impact et recommandation.
Scénarios d'exploitation
Le chemin suivi par l'attaquant, étape par étape (test d'intrusion et audit interne).
Plan de remédiation
Étape par étape pour vos équipes, ou pris en charge par les nôtres.
Attestation de réalisation
Le document que réclament un client, un assureur ou un donneur d'ordre.
Avant même de nous parler
Mesurez votre exposition en 30 secondes
Le diagnostic analyse votre domaine depuis Internet : certificat, messagerie (SPF, DKIM, DMARC), en-têtes, ports exposés. Score de A à F, sans installation ni compte.
Lancer le diagnostic gratuitGratuit · sans compte · données en Europe
Questions fréquentes
Audit de sécurité : vos questions
Quelle différence entre une évaluation externe et un test d'intrusion ?
L'évaluation externe dresse un état des lieux de ce qui est visible depuis Internet et signale les failles potentiellement exploitables, sans les exploiter. Le test d'intrusion va plus loin : il exploite les failles de façon contrôlée et entre dans vos applications avec des comptes de test, là où les failles sont souvent les plus graves.
Pourquoi un audit interne si l'extérieur est déjà testé ?
La plupart des attaques graves commencent par un simple accès interne : un poste piégé par e-mail, un mot de passe volé. L'audit interne mesure jusqu'où un attaquant peut aller depuis un poste ordinaire, jusqu'au contrôle de votre domaine Active Directory.
Faut-il interrompre l'activité pendant l'audit ?
Non. Les tests sont non destructifs et sans déni de service. Les systèmes fragiles sont exclus ou ménagés dès le cadrage, et les créneaux sont validés avec vous.
Que faut-il préparer avant le démarrage ?
Une autorisation écrite signée par le propriétaire du périmètre, et la vérification des conditions de votre hébergeur si l'infrastructure est louée. Pour un test grey box, deux comptes de test de même niveau par espace audité. Pour un audit interne, une prise réseau, un poste et un compte utilisateur standard.
L'audit suffit-il à être conforme NIS2 ?
Non, et méfiez-vous de qui l'affirme. L'audit établit où vous en êtes, fournit des preuves datées et le plan pour combler les écarts. Le test d'intrusion répond quant à lui à l'exigence d'évaluer l'efficacité des mesures en place.
Qui corrige les failles après le rapport ?
Vos équipes ou votre prestataire habituel, grâce au plan de remédiation étape par étape. Si vous n'avez pas les compétences en interne, une offre de remédiation dédiée permet de nous confier l'ensemble des corrections.
Audit de sécurité près de chez vous
Trente minutes pour choisir le bon audit
On cadre le périmètre, on écoute vos inquiétudes, et on vous dit quel format se justifie. Si aucun n'est nécessaire, on vous le dit aussi.
Chargement des créneaux…