Dernière mise à jour : 6 août 2026

Audit de cybersécurité : déroulement, charge de travail et facteurs de coût

Un audit de cybersécurité vérifie le respect des exigences de sécurité définies à l'aide de preuves vérifiables. La mission peut porter sur un système de gestion, des contrôles spécifiques, un processus métier, un environnement technique ou une relation avec un fournisseur. Pour que la mission soit solide, l’objectif, les critères, le périmètre et le niveau de détail de l’audit doivent être définis avant l’établissement du devis. Sinon, les entreprises comparent des prestations différentes sous une même rubrique.

Cet article fournit des indications utiles pour l'achat, mais ne mentionne pas de tarifs forfaitaires. Le coût dépend fortement de l'organisation, du champ d'application, de la norme d'audit, des données disponibles et du niveau de détail technique. Une offre sérieuse présente ces hypothèses de manière transparente et décrit les résultats que le donneur d'ordre obtiendra.

L'essentiel en bref

• Un audit de cybersécurité nécessite des critères d'audit bien définis, un périmètre clairement délimité et une indication précise concernant la preuve de sécurité souhaitée.
• L'audit du système de gestion, l'audit de contrôle, l'évaluation technique, l'analyse de vulnérabilité et le test d'intrusion permettent de répondre à différentes questions.
• La charge de travail dépend principalement de la portée, de la diversité des systèmes, du nombre de sites et d'entretiens, du degré de maturité des données, de la profondeur de l'audit et du travail de suivi.
• Les bonnes offres précisent les méthodes, les échantillons, les obligations de coopération, les exclusions, le type de rapport ainsi que les procédures à suivre pour les demandes de précisions et la fourniture de justificatifs.
• Une analyse externe des vulnérabilités peut apporter des preuves techniques, mais ne remplace pas l'audit des contrôles organisationnels ni une certification.

Préciser d'abord l'objet et le type d'audit

Le terme « audit de cybersécurité » ne désigne pas une procédure unique. Un audit interne examine le système de gestion de l'entreprise ou les contrôles définis et soutient le pilotage interne. Un audit de deuxième partie porte, par exemple, sur un fournisseur pour le compte du client. Un audit de certification indépendant évalue la conformité à une norme certifiable selon les règles de l'organisme de certification compétent. Une évaluation technique de la sécurité, en revanche, examine les systèmes et les configurations à l'aune de critères techniques.

La norme ISO 19011:2026 fournit des lignes directrices concernant les principes d'audit, les programmes d'audit, la conduite des audits des systèmes de management et la compétence des personnes impliquées. La norme en elle-même ne conduit pas à une certification. Pour les audits d’un système de management de la sécurité de l’information, la norme ISO/IEC 27007:2020 complète ces orientations générales. Le site de l’ISO indique par ailleurs qu’une révision de la norme ISO/IEC 27007 est en cours d’élaboration en août 2026. Une offre doit donc préciser l’édition concrètement utilisée.

Avant de lancer l'appel d'offres, il faut se poser la question centrale : s'agit-il d'évaluer l'efficacité de contrôles sélectionnés ? S'agit-il de se préparer à un futur audit de certification ? Un client a-t-il besoin d’une attestation concernant un périmètre convenu ? Ou faut-il donner la priorité aux expositions techniques externes ? La réponse à cette question permet de définir les critères d’audit, les compétences requises et les éléments de preuve nécessaires.

Le périmètre décrit les entités organisationnelles, les sites, les processus, les systèmes, les applications, les données et la période concernée. Les interfaces et les prestations externalisées font également partie de cette délimitation. Des formulations telles que „ l'ensemble du système informatique “ sont trop imprécises pour un appel d'offres. Il est préférable de dresser une liste vérifiable des domaines concernés, accompagnée des exclusions justifiées.

Distinguer l'audit, l'analyse, le test d'intrusion et l'EASM

Un audit consiste à recueillir et à évaluer des éléments probants au regard de critères prédéfinis. La norme NIST SP 800-53A décrit à cet effet des procédures adaptables permettant d'évaluer les contrôles de sécurité et de protection des données. Ces méthodes peuvent consister à examiner des documents, à interroger les responsables et à tester des contrôles techniques ou organisationnels. Le résultat est une conclusion motivée concernant les objectifs vérifiés, et non pas simplement une liste de résultats techniques.

Un scan de vulnérabilités recherche automatiquement les failles connues ou les problèmes de configuration dans un périmètre cible défini. Un test d'intrusion va plus loin et tente, avec les autorisations appropriées, de vérifier de manière contrôlée les failles et les vecteurs d'attaque. La norme NIST SP 800-115 classe l'analyse des documents et des journaux, la détection des réseaux, le scan de vulnérabilité et les tests d'intrusion parmi les différentes techniques utilisées dans le cadre des évaluations techniques.

Gestion de la surface d'attaque externe analyse en continu la surface d'attaque observable depuis Internet. L'EASM permet de mettre en évidence les ressources externes, les services accessibles et les indications de configuration. La vue externe n’a toutefois pas automatiquement accès aux politiques internes, aux autorisations, aux modèles d’autorisation ou aux justificatifs de traitement. Elle n’identifie pas non plus nécessairement la version logicielle concrètement vulnérable.

Une entreprise peut combiner ces différentes méthodes. Un audit utilise les résultats d'un scan ou d'un EASM comme éléments de preuve lorsqu'ils correspondent aux critères d'audit. Une détection technique ne se traduit pas pour autant automatiquement par un écart d'audit. L'auditeur doit évaluer la pertinence, la fiabilité et la portée de ces éléments de preuve.

Le déroulement, de la préparation au rapport d'audit

La définition de la mission permet de convenir de l'objectif, des critères, du périmètre, des interlocuteurs, de la confidentialité, des méthodes de test autorisées et des résultats attendus. Dans le cas de tests techniques, cela inclut les validations, les fenêtres de test, les systèmes exclus et les critères d'arrêt. Le donneur d'ordre précise si le rapport est destiné à un usage interne, s'il doit être présenté à un client ou s'il est nécessaire pour une évaluation formelle de la conformité.

La phase de préparation consiste à traduire la mission en un plan d'audit. Les auditeurs examinent les documents disponibles, sélectionnent des échantillons et planifient les entretiens ainsi que les vérifications techniques. Un contrôle de préparation permet de détecter rapidement les documents de base manquants. Il ne doit toutefois pas être confondu avec l'audit indépendant si cela risque de compromettre l'indépendance requise.

Au cours de l'audit, les auditeurs recueillent des éléments probants. Ils comparent les directives aux processus réels, se font présenter les contrôles, vérifient les enregistrements et interrogent les responsables. Les échantillonnages techniques peuvent porter sur les configurations, les journaux, les tickets ou des observations externes. La norme ISO 19011 définit une approche fondée sur les preuves et axée sur les risques comme principes d'audit. La norme NIST SP 800-53A souligne que les procédures d'audit peuvent être adaptées à l'objectif visé et au niveau de tolérance au risque.

Les constatations doivent faire l'objet d'une clarification technique avant la clôture du rapport. Il ne s'agit pas de négocier des résultats gênants, mais de vérifier s'il y a eu des malentendus, une définition erronée du périmètre ou un manque de preuves. Le rapport décrit les critères, le périmètre, les méthodes, les limites, les constatations et, le cas échéant, les suggestions d'amélioration. Il fait la distinction entre observation, évaluation et recommandation.

Une fois le rapport établi, le donneur d'ordre attribue les causes, les risques, les mesures, les responsables et les délais. Un contrôle de suivi permet de vérifier la mise en œuvre des corrections convenues. Il convient de préciser, avant même de passer commande, si ce contrôle fait partie intégrante de l'offre initiale.

Rôles et éléments probants pour un contrôle efficace

Du côté du donneur d'ordre, l'audit nécessite un parrain, un coordinateur et des interlocuteurs techniques. Le promoteur résout les conflits d’objectifs et valide le périmètre de l’audit. Le coordinateur gère les documents, les délais et les demandes de précisions. Les responsables du contrôle expliquent les processus et fournissent les justificatifs. Les services informatiques, le développement, la protection des données, les achats, les ressources humaines et la gestion des bâtiments ne sont impliqués que lorsque le périmètre de l’audit touche à leurs missions.

L'équipe d'audit doit disposer des compétences adaptées au sujet traité. Un auditeur SMSI doit maîtriser les systèmes de gestion, la gestion des risques et la méthodologie d'audit. Une expertise technique supplémentaire peut être nécessaire pour les configurations cloud, la sécurité des applications ou les systèmes industriels. L’indépendance et les conflits d’intérêts potentiels doivent être précisés dès la définition de la mission. Le conseil et l’audit indépendant ultérieur ne doivent pas être réalisés sans discernement par les mêmes personnes.

Les preuves appropriées sont à jour, traçables et rattachées au périmètre. Parmi les exemples typiques, on peut citer les directives, les évaluations des risques, les inventaires, les descriptions de poste, les autorisations, les attestations de formation, les extraits de configuration, les procès-verbaux, les tickets, les documents fournisseurs, les rapports d’incident et les plans d’action antérieurs. Un document ne prouve pas à lui seul qu’un processus est efficace en pratique. C’est pourquoi les auditeurs combinent l’examen des documents, les entretiens et les contrôles par échantillonnage.

Une liste centrale des pièces justificatives, dont l'accès est contrôlé, réduit le temps consacré à la recherche. Elle indique le propriétaire du document, la version, la date de validation, le lien avec le critère de contrôle et le délai de mise à disposition convenu. Les pièces justificatives sensibles ne doivent pas être diffusées par e-mail de manière incontrôlée. La mission doit régir la conservation, l’accès et la suppression des documents d’audit.

Évaluer de manière rigoureuse l'effort nécessaire et les facteurs de coût

Sans connaître le périmètre, il est impossible de fournir un devis fiable. Le premier facteur déterminant est l'étendue : nombre d'unités organisationnelles, de sites, de systèmes, de fournisseurs et de processus concernés. Le second est la profondeur. Une vérification documentaire nécessite des compétences et des délais de test différents de ceux requis pour les échantillonnages techniques, l’analyse du code source ou les tests d’intrusion contrôlés.

Le degré de maturité des données influe sur la charge de travail des deux parties. Des documents à jour et bien classés, ainsi que des interlocuteurs disponibles, permettent de réduire les demandes de précisions. Des inventaires contradictoires, des responsabilités floues et l'absence de justificatifs entraînent des recherches supplémentaires. La langue, les fuseaux horaires, les déplacements nécessaires, les exigences particulières en matière de confidentialité et l'étendue souhaitée du rapport ont également une incidence.

Parmi les autres facteurs figurent le nombre d'échantillons, la complexité de l'architecture, les connaissances réglementaires spécifiques et l'indépendance requise. Un audit de certification obéit à d’autres règles qu’une évaluation interne de l’état de préparation. La présentation de justificatifs à plusieurs clients peut être optimisée grâce à un rapport harmonisé, à condition que le périmètre et le contenu soient adaptés aux destinataires.

Pour l'établissement du budget, les coûts internes doivent rester visibles : préparation, entretiens, traitement des données, accès techniques, suivi des tests et mise en œuvre des mesures. Un prix de proposition bas n’est guère utile si les obligations de coopération restent floues ou si des prestations essentielles viennent s’ajouter par la suite. Il est judicieux de réaliser une estimation des coûts par phase, avec des hypothèses et des options clairement indiquées.

Une analyse externe des risques informatiques peut fournir un module technique bien délimité. LocateRisk n’est donc pas l’auditeur organisationnel pour chaque thème de contrôle. L’analyse externe apporte son soutien lorsque l’exposition sur Internet et les caractéristiques de sécurité observables font partie de l’objet de l’audit.

Comparer les offres et piloter efficacement les actions

Les offres comparables font référence au même périmètre et aux mêmes critères d'audit. Vérifiez quels sites et systèmes sont inclus, quels entretiens sont prévus et comment les échantillons sont sélectionnés. L'offre doit préciser les méthodes d'audit, la répartition entre les interventions à distance et sur site, les limites techniques des tests ainsi que les accès requis. Les compétences de l'équipe, son indépendance et les modalités de remplacement sont tout aussi importantes.

Le type de résultat doit correspondre à l'intention d'achat. Un rapport de gestion traite des risques et des décisions. Une annexe technique nécessite des preuves reproductibles et une identification claire des actifs concernés. Pour une certification, les exigences formelles de l'organisme de certification s'appliquent. Vérifiez au préalable si la réunion de présentation du projet, la correction des erreurs factuelles, l'atelier sur les mesures à prendre et la vérification finale sont inclus.

Les critères d'évaluation et les niveaux de gravité doivent également être expliqués. Un prestataire doit montrer comment une conclusion est tirée à partir des données disponibles et comment l'incertitude est gérée. Les affirmations absolues sans champ d'application délimité ne constituent pas un gage de qualité. Un Note de sécurité permet de comparer les évolutions techniques, mais ne remplace pas la justification d'une constatation d'audit.

Une fois la sélection effectuée, la réduction des risques proprement dite commence. Les mesures doivent préciser la cause et l'état cible. Pour chaque mesure, le responsable, la priorité, le délai et la preuve de mise en œuvre sont définis. Les exceptions font l'objet d'une décision de risque documentée et d'une date d'expiration. Les constatations récurrentes indiquent souvent un problème de processus qui va au-delà de la correction d'un système isolé.

Un bon audit ne se limite donc pas à fournir un simple instantané destiné à être archivé. Il constitue une base décisionnelle fiable. Son utilité dépend toutefois de la capacité de l'organisation à hiérarchiser les constatations, à mettre en œuvre des mesures et à en réévaluer l'impact.

Questions fréquentes

---

Qu'est-ce qu'un audit de cybersécurité ?

Un audit de cybersécurité évalue des exigences de sécurité définies à l'aide de preuves vérifiables. Selon la mission, il porte sur un système de gestion, des contrôles sélectionnés, un processus, des systèmes techniques ou une relation avec un fournisseur.

---

En quoi un audit diffère-t-il d'un test d'intrusion ?

Un audit consiste à vérifier la conformité des éléments probants par rapport à des critères définis et peut porter sur des contrôles tant organisationnels que techniques. Un test d'intrusion examine un périmètre technique convenu et tente de vérifier de manière contrôlée les vecteurs d'attaque potentiels.

---

Quels sont les documents nécessaires pour un audit de cybersécurité ?

Cela dépend du périmètre. Les éléments souvent pertinents sont les directives, les évaluations des risques, les inventaires, les rôles, les autorisations, les configurations, les protocoles, les tickets, les justificatifs fournisseurs, les rapports d'incidents et les plans d'action antérieurs.

---

Pourquoi n'est-il pas possible d'indiquer un montant forfaitaire pour les frais d'audit ?

La charge de travail dépend notamment de la portée de l'audit, de son niveau de détail, de la diversité des systèmes et des sites, du degré de maturité des données, du nombre d'entretiens et d'échantillons, des compétences techniques requises, ainsi que de la rédaction du rapport et de la vérification ultérieure. Pour pouvoir comparer des offres, il faut partir d'hypothèses identiques.

---

LocateRisk peut-il remplacer un audit de cybersécurité au sein d'une organisation ?

Non. LocateRisk apporte un regard technique externe sur les systèmes accessibles et les caractéristiques de sécurité observables. Les processus organisationnels, les contrôles internes et la conformité formelle nécessitent des éléments de preuve supplémentaires et des auditeurs dûment qualifiés.

Vous avez besoin, avant un audit de cybersécurité, d'un regard extérieur sur les systèmes accessibles au public et les vulnérabilités techniques ? Commencez par un Évaluation de sécurité gratuite proposée par LocateRisk puis déterminez l'oscilloscope de test adapté.