Antivirus à jour, pare-feu, sauvegardes, charte informatique signée par chaque nouvel·le arrivant·e : sur le papier, la sécurité est couverte. Sauf que, bien trop souvent, personne ne sait vraiment répondre à trois questions simples :
- où êtes-vous exposé,
- qui décide quand un incident survient,
- et dans quel ordre investir.
C’est précisément ce que tranche un audit de maturité cybersécurité. Pour une organisation de 50 à 500 salariés, la situation est particulière. Vous êtes trop grand pour vous contenter de bonnes pratiques informelles, mais pour certaines pas encore assez doté pour entretenir une équipe sécurité complète, avec des clients grands comptes qui envoient des questionnaires, un assureur qui durcit ses exigences, parfois une obligation comme NIS2 pour les organisations concernées et un DSI qui cumule dix métiers.
S’appuyer sur un audit de cybersécurité orienté maturité donne alors une photographie honnête, chiffrée et priorisée du niveau réel. Découvrons ensemble ce que l’exercice mesure, comment il se déroule et surtout ce qu’il révèle le plus souvent chez les PME et ETI, pour savoir à quoi s’attendre avant de lancer le vôtre.
Audit de maturité, audit de conformité, pentest : ne pas confondre
Ces trois démarches se complètent mais ne répondent pas à la même question. Un audit de conformité vérifie le respect d’un référentiel précis (ISO 27001, NIS2, exigence contractuelle) et conclut par conforme ou non conforme. Il permet surtout à prouver quelque chose à un tiers. Un pentest par exemple adopte le point de vue de l’attaquant et démontre ce qui est exploitable aujourd’hui : il dit si la porte s’ouvre, mais pas si l’organisation sait gérer une serrure. Les différences entre un pentest et un audit de sécurité méritent d’ailleurs d’être posées avant de lancer l’un ou l’autre.
L’audit de maturité, lui, mesure la capacité globale de l’organisation à prévenir, détecter et répondre : gouvernance, processus, outils et comportements, domaine par domaine, sur une échelle de niveaux. Il produit un score par thème, une comparaison avec un niveau cible et une trajectoire pour progresser. Pour une entreprise qui démarre sa structuration cyber, c’est généralement la première brique à poser, avant un budget pentest ou une certification.
Comment se déroule une évaluation de maturité en PME et ETI
Tout commence par un cadrage : objectifs, périmètre, parties prenantes. Rassurer un client majeur, préparer NIS2 ou construire un budget pour le comité de direction n’appellent pas la même profondeur. Pour évaluer la maturité de cybersécurité, plusieurs référentiels se combinent bien : le guide d’hygiène de l’ANSSI et ses 42 mesures, base opérationnelle lisible pour une entreprise française, le NIST Cybersecurity Framework 2.0, structuré en six fonctions dont la gouvernance et l’ISO 27001 si une certification est visée. Pour les organisations concernées par NIS2, l’ANSSI met aussi à disposition depuis le 17 mars 2026 le Référentiel Cyber France (ReCyF), diffusé comme document de travail et non obligatoire par défaut. Un bon prestataire choisit le cadre qui sert votre objectif, pas celui qu’il utilise par habitude.
Le cœur de la mission repose sur des entretiens avec les responsables de chaque domaine (DSI, infrastructure, RH, achats, juridique, direction) et sur des preuves. Elle visera à auditer la politique de mots de passe appliquée dans l’annuaire, le rapport de la dernière restauration de sauvegarde, la liste des comptes à privilèges, le contrat d’infogérance, etc. Des vérifications techniques ciblées (revue de l’Active Directory, surface exposée sur Internet, règles du pare-feu) viendront quant à elles confronter le déclaratif à la réalité, sans viser un pentest complet. Selon le périmètre, la mission s’étale de quelques jours à quelques semaines et, selon le contexte, il est pertinent de privilégier un prestataire qualifié PASSI ou labellisé ExpertCyber.
Ce que l’audit révèle le plus souvent dans une PME ou une ETI
D’un audit à l’autre, les mêmes écarts reviennent. Ils tiennent rarement à la négligence des équipes, mais à une sécurité construite par couches, au gré des incidents et des projets. Les six constats les plus fréquents :
- Une gouvernance sans propriétaire : décisions prises au fil de l’eau, sans responsable, sans comité ni indicateurs, le DSI portant le sujet en plus du reste. C’est souvent le constat le plus structurant, parce qu’il explique les autres ;
- Un inventaire des actifs incomplet : serveurs oubliés, applications SaaS souscrites sans validation, postes hors parc, sous-domaines orphelins ;
- Des identités et des privilèges mal maîtrisés : comptes d’anciens collaborateurs encore actifs, comptes de service aux mots de passe jamais changés, trop d’administrateurs du domaine, MFA absent sur les accès à distance ou la messagerie ;
- Des sauvegardes jamais testées : elles tournent chaque nuit, mais personne n’a restauré un environnement complet et elles restent parfois accessibles depuis le réseau de production ;
- Une détection et une réponse à incident quasi inexistantes : journaux collectés partiellement, ni procédure de crise ni liste de contacts à jour ;
- Des tiers peu encadrés : infogéreurs et éditeurs aux accès étendus, rarement assortis d’exigences de sécurité contractuelles.
S’y ajoute souvent un angle humain : une sensibilisation limitée à un module annuel peu suivi, sans mesure du comportement réel face au phishing.
Que peut-on attendre ? Scoring, écarts et feuille de route
Un audit utile ne se termine pas par un rapport de cinquante pages que personne n’ouvrira, mais par trois livrables exploitables. Le tableau de bord de maturité donne un niveau par domaine face au niveau cible fixé ensemble et la direction y lit en trente secondes où se situent les faiblesses. La liste des écarts rattache chacun à un risque métier concret (arrêt de production, fuite de données clients, non-conformité contractuelle) : un écart exprimé en jours d’arrêt possibles débloque un budget, un écart en jargon reste dans un tiroir. Enfin, la feuille de route sépare les gains rapides, réalisables en quelques semaines (MFA, comptes obsolètes, sauvegardes isolées, responsable sécurité nommé), des chantiers de fond comme la supervision ou la refonte de l’annuaire, inscrits dans un plan pluriannuel chiffré.
Les erreurs qui réduisent la valeur de l’audit
Quatre pièges font perdre à l’exercice une grande partie de son intérêt. Auditer pour cocher une case : un questionnaire client à satisfaire donne un rapport qui rassure sans rien changer. Cadrer un périmètre trop étroit, en excluant une filiale, un site ou le cloud « parce que c’est géré à part ». Ne pas impliquer les métiers, alors que beaucoup de risques naissent dans les processus, comme un virement validé par mail ou un accès accordé trop vite. Et surtout ne pas passer à l’action : un audit dont les recommandations ne sont ni attribuées, ni datées, ni budgétées vieillit mal et ce qu’il faut éviter après un audit de cybersécurité mérite d’être anticipé dès le cadrage.
Quand faut-il lancer un audit de maturité cyber ?
Certains déclencheurs rendent l’exercice particulièrement pertinent : un grand compte vous demande des preuves, votre assureur cyber durcit ses conditions, vous venez de subir un incident même mineur, vous préparez une acquisition ou une migration vers le cloud, ou vous construisez un budget qui doit reposer sur autre chose qu’une intuition. La réglementation peut aussi s’en mêler : la transposition française de NIS2 n’est pas encore achevée, mais le lien entre NIS2 et audit de cybersécurité mérite d’être anticipé par les organisations concernées.
Quel que soit le déclencheur, le bon moment est celui où vous avez encore la main : réalisé avant une attaque, l’audit sert à l’éviter, réalisé après, il sert à comprendre. Pour obtenir un premier repère chiffré avant de cadrer la mission :
 |
Notre outil de calcul de votre score de cybersécurité
Évaluez rapidement et gratuitement votre niveau de cybersécurité grâce à notre outil en ligne. Votre entreprise est-elle suffisamment protégée face aux risques cyber ?Calculez votre score de cybersécurité en quelques minutes et identifiez vos premiers axes d’amélioration pour mieux sécuriser vos systèmes d’information. |
Une fois les écarts les plus évidents corrigés, un pentest vient ensuite éprouver ce que vous avez mis en place face à un attaquant motivé : l’un mesure l’organisation, l’autre la technique et leur enchaînement donne la trajectoire la plus efficace.
Ce qu’il faut retenir
Pour une entreprise de 50 à 500 salariés, l’audit de maturité n’est pas un exercice académique. Il transforme un sentiment de sécurité en niveau mesuré, et une liste de craintes en plan d’action chiffré, défendable devant un comité de direction, un client ou un assureur. Il révèle des écarts que vous soupçonniez et d’autres que vous n’aviez pas vus, avec un ordre de priorité clair, ce qui change la façon d’arbitrer le budget cyber de l’année suivante.