Quand on lance un audit informatique, la première difficulté n’est pas technique : c’est de savoir ce qu’on audite. Une PME qui vient de subir une tentative de phishing ne cherche pas la même chose qu’une direction générale qui veut comprendre pourquoi les projets IT dérapent systématiquement en budget. Ces deux situations renvoient aux deux principaux types d’audits informatiques : l’audit de cybersécurité et l’audit de gouvernance TI.
Audit de cybersécurité : ce qu’on teste vraiment sur le terrain
On associe souvent l’audit de cybersécurité au test d’intrusion (pentest). C’est une partie du travail, pas l’ensemble. Un audit de cybersécurité couvre l’analyse des vulnérabilités, la revue des configurations réseau, la vérification des politiques d’accès et la conformité aux référentiels comme ISO/IEC 27001.
A lire également : Quelle est la différence entre ikev2 et openvpn ?
Concrètement, on commence par cartographier les actifs exposés : serveurs accessibles depuis l’extérieur, applications web, points d’accès Wi-Fi, postes nomades. L’auditeur cherche les failles exploitables, mais aussi les écarts entre ce que l’entreprise pense avoir sécurisé et ce qui l’est réellement.
Ce que l’audit de sécurité met en lumière
Les résultats ne se limitent pas à une liste de vulnérabilités classées par gravité. Un audit bien mené produit une analyse de risques contextualisée : quelle faille, sur quel périmètre, avec quel impact métier si elle est exploitée.
A lire également : Comment savoir si j’ai un ransomware ?
- Les tests de vulnérabilités identifient les failles techniques sur les systèmes, les applications et le réseau, avec un classement par criticité.
- La revue des configurations vérifie que les pare-feu, les règles de segmentation et les droits d’accès correspondent aux bonnes pratiques documentées.
- L’analyse organisationnelle évalue les processus humains : gestion des mots de passe, sensibilisation des équipes, procédures de réponse aux incidents.
- Le contrôle de conformité mesure l’écart entre l’existant et les exigences d’un référentiel (ISO 27001, RGPD, normes sectorielles).
Le livrable final n’est pas un rapport qu’on range dans un tiroir. C’est un plan d’actions priorisé, avec des corrections immédiates et des chantiers à planifier sur plusieurs mois.
Audit de gouvernance TI : quand le problème n’est pas technique
On peut avoir des serveurs parfaitement patchés et des pare-feu bien configurés, tout en perdant le contrôle de son informatique. C’est le terrain de l’audit de gouvernance TI, qui examine comment les décisions IT sont prises, budgétées et suivies dans l’organisation.
Ce type d’audit s’intéresse aux politiques, aux rôles, aux processus de validation et à l’alignement entre la stratégie informatique et les objectifs métier. L’audit de gouvernance TI évalue la prise de décision, pas les machines.
Situations typiques qui déclenchent un audit de gouvernance
Une entreprise où chaque service achète ses propres licences SaaS sans validation centrale a un problème de gouvernance, pas de sécurité. Un DSI qui ne parvient pas à arbitrer entre les demandes des métiers manque de cadre décisionnel, pas de compétences techniques.
L’auditeur passe en revue la documentation existante (chartes, procédures, organigrammes IT), puis confronte ces documents à la réalité opérationnelle par des entretiens avec les équipes. L’écart entre le prescrit et le vécu constitue le diagnostic.
Référentiels utilisés pour la gouvernance IT
Les auditeurs s’appuient généralement sur des cadres comme CobiT pour structurer leur analyse. Ces référentiels fournissent des objectifs de contrôle couvrant la gestion de projet, la gestion des changements, la continuité d’activité et la relation entre DSI et direction générale.
Un audit de gouvernance bien conduit clarifie qui décide quoi en matière d’IT. Il produit des recommandations sur la structuration des comités de pilotage, la formalisation des processus d’achat technologique et le reporting vers la direction.
ISO 27001:2022 et audits de conformité : la bascule normative récente
Pour les entreprises certifiées ou en cours de certification, un changement majeur a eu lieu. L’International Accreditation Forum a fixé la date butoir de transition vers ISO/IEC 27001:2022 au 31 octobre 2025. Depuis le 1er novembre 2025, les audits de certification ne se font plus que sur cette version. Les certificats basés sur l’édition 2013 sont expirés ou retirés.
Cette bascule a des conséquences directes sur le périmètre des audits de cybersécurité et de conformité. La version 2022 réorganise les contrôles de l’annexe A et intègre des thématiques comme la sécurité du cloud et la prévention des fuites de données, absentes ou implicites dans l’ancienne édition.
Pour une entreprise qui planifie un audit, cela signifie que tout audit de conformité ISO 27001 doit désormais viser la version 2022. Les auditeurs formés sur l’ancienne version doivent mettre à jour leurs grilles de contrôle.
Choisir entre audit de cybersécurité et audit de gouvernance TI
On ne choisit pas toujours. Les deux types d’audits informatiques répondent à des questions différentes et se complètent. En revanche, quand le budget ou le calendrier impose un arbitrage, le déclencheur terrain donne la réponse.
- Un incident de sécurité récent, des alertes remontées par un SOC ou une obligation réglementaire orientent vers un audit de cybersécurité en priorité.
- Des dépassements budgétaires IT récurrents, un shadow IT incontrôlé ou une absence de comité de pilotage technologique pointent vers un audit de gouvernance.
- Une certification ISO 27001 ou un audit réglementaire sectoriel exigent généralement les deux volets, menés en parallèle ou en séquence.
Les retours varient sur ce point selon la taille de l’organisation : une PME avec un seul responsable informatique n’a pas le même besoin de formalisation de la gouvernance qu’un groupe avec plusieurs entités et une DSI structurée.
L’approche la plus efficace reste de commencer par identifier le problème concret qui motive l’audit, puis de dimensionner la mission en conséquence. Un audit global qui tente de tout couvrir sans priorisation produit souvent un rapport volumineux dont personne n’exploite les recommandations.
