En bref : Préparer un audit informatique consiste à réunir cinq catégories de documents (gouvernance, technique, contrats, conformité à la Loi 25, continuité), à libérer les bonnes personnes au bon moment et à donner à l’auditeur des accès justes, ni trop larges ni trop restreints. Ce n’est pas nettoyer la situation avant qu’il arrive : un audit maquillé ne produit qu’un rapport inutile.
Un audit informatique a été mandaté, ou vous êtes sur le point de le mandater. La question qui suit, presque toujours, est la même : comment préparer un audit informatique, concrètement ? La réponse courte tient dans cet article. La réponse longue dépend de la taille de votre organisation, mais la structure ne change pas, qu’il s’agisse d’une PME manufacturière, d’une clinique ou d’un cabinet professionnel.
Ce guide complète notre guide complet de l’audit informatique : celui-là explique ce qu’est un audit TI et pourquoi le faire, celui-ci vous dit quoi avoir sous la main quand l’auditeur arrive. Si vous n’avez pas encore choisi votre auditeur, on en parle dans Les questions à poser avant de confier votre audit TI ; ce guide-ci part du principe que le mandat est déjà signé.
Dans cet article
Préparer un audit informatique : quels documents faut-il réunir ?
La plupart des demandes documentaires se regroupent en cinq catégories. Un auditeur sérieux les couvre toutes, peu importe le vocabulaire exact qu’il emploie dans sa lettre de mandat.
| Catégorie | Ce qu’elle couvre | Exemples de documents |
|---|---|---|
| Gouvernance | Les décisions et les responsabilités TI | Politiques TI, organigramme des responsabilités, comptes rendus du comité de direction sur les TI |
| Technique | L’état réel de l’infrastructure | Inventaire des actifs, schéma réseau, journal des correctifs, configuration des pare-feu et des accès à distance |
| Contrats fournisseurs | Ce que vous avez délégué, et à qui | Ententes de service (SLA), contrats d’hébergement infonuagique, ententes de confidentialité avec les sous-traitants |
| Conformité Loi 25 | Vos obligations envers les renseignements personnels | Registre des incidents de confidentialité, registre des communications sans consentement, politique de conservation |
| Continuité | Votre capacité à vous relever d’un incident | Plan de relance, résultats des derniers tests de restauration, liste des contacts d’urgence |
Deux catégories surprennent régulièrement les dirigeants : les contrats fournisseurs et la conformité à la Loi 25.
Les contrats fournisseurs, parce qu’une bonne partie de l’infrastructure d’une PME est gérée par un tiers, et que l’entreprise elle-même n’a parfois jamais lu l’entente de service qui la lie. L’auditeur va la lire, lui.
La Loi 25 exige un registre des incidents de confidentialité et un registre distinct pour toute communication de renseignements personnels faite sans le consentement de la personne concernée. La plupart des PME découvrent ces deux registres au moment de l’audit, pas avant. Si les vôtres n’existent pas encore, dites-le à l’auditeur avant qu’il pose la question. Un registre absent, documenté honnêtement, pèse moins lourd dans un rapport qu’un registre découvert par l’auditeur lui-même.
Qui doit être disponible, et combien de temps ?
Trois profils reviennent presque toujours sur la liste de convocation :
- quelqu’un qui connaît les décisions (la direction ou le responsable TI)
- quelqu’un qui connaît l’infrastructure telle qu’elle tourne réellement, souvent une personne différente de la précédente
- quelqu’un qui peut parler des contrats et des fournisseurs
Dans une petite organisation, ces trois rôles se résument parfois à une seule personne. C’est correct, mais prévoyez alors que cette personne portera l’essentiel de la charge. Bloquez son agenda en conséquence, pas seulement pour le jour des entrevues, mais pour les jours qui précèdent, ceux où les documents se rassemblent.
Si votre infrastructure est gérée par un fournisseur externe, prévenez-le tôt. Un auditeur pose des questions techniques précises, et un fournisseur pris au dépourvu répond de façon vague, ce qui ralentit tout le monde et laisse une impression d’improvisation qui n’a souvent rien à voir avec la qualité réelle du travail fait.
Le déroulement complet d’un mandat, semaine par semaine, est détaillé dans notre article Comment se déroule un audit informatique ? Le savoir à l’avance aide à répartir les disponibilités sur la bonne période plutôt que de tout concentrer sur une seule semaine.
Faut-il faire le ménage avant l’audit ?
Non. C’est la réponse la plus contre-intuitive de cet article, et c’est aussi la plus importante.
L’intérêt d’un audit indépendant, c’est que quelqu’un voie la situation telle qu’elle est. Un audit maquillé, c’est comme repeindre une fissure la veille d’une inspection : l’auditeur ne voit rien, mais la fissure est toujours là, et elle finit par coûter deux fois, une fois pour le maquillage, une fois pour la corriger vraiment.
Le rapport d’audit devient souvent une pièce que votre assureur, un prêteur ou un client exigeant va lire. Un portrait embelli aujourd’hui devient un problème documenté demain, généralement au pire moment.
Cela ne veut pas dire arriver les mains vides. Corriger un mot de passe partagé trouvé la veille, oui. Réécrire rétroactivement une politique qui n’existait pas pour donner l’impression qu’elle existait depuis un an, non. La différence tient dans une question simple : est-ce que je corrige une lacune réelle, ou est-ce que je maquille une lacune pour qu’elle ne se voie pas ?
Un auditeur indépendant n’a d’intérêt ni à noircir le portrait ni à l’embellir. Chez Factero, personne ne vend la remédiation qui suit un audit : le rapport n’a donc aucune raison de vous faire peur inutilement, ni de vous rassurer à tort. Le seul produit que vous achetez, c’est un portrait exact. Une entreprise qui maquille son audit paie pour un portrait qui n’existe pas.
Quels accès faut-il préparer, sans compromettre la sécurité ?
La règle est simple à énoncer, plus longue à appliquer : donnez à l’auditeur ce qu’il faut pour vérifier, jamais plus.
Un compte nominatif, temporaire, avec les droits minimaux pour consulter ce qui doit l’être. Un accès en lecture aux journaux, à la console de gestion du pare-feu, aux configurations infonuagiques. Jamais un mot de passe partagé envoyé par courriel, jamais un compte administrateur générique qui traîne au-delà du mandat.
Documentez ce que vous avez donné et retirez-le à la fin du mandat. Un accès d’audit oublié, encore actif six mois plus tard, est exactement le genre de trouvaille qu’un audit est censé éliminer, pas créer.
Le Centre canadien pour la cybersécurité publie des guides pour PME sur la gestion des accès et l’hygiène de base des mots de passe. Notre angle ici est différent : c’est un guide pour la direction, pas pour l’équipe TI, mais les deux se complètent.
Comment préparer son comité de direction aux constats d’un audit informatique ?
Préparer un audit informatique ne s’arrête pas aux documents et aux accès : il faut aussi préparer les personnes qui liront le rapport.
Prévenez votre comité de direction avant la remise du rapport, pas après : un audit sérieux trouve des écarts, presque toujours, et c’est normal. Le rôle de l’audit n’est pas de juger l’équipe TI, il est d’éclairer une décision.
Le réflexe le plus coûteux consiste à chercher un coupable dans le rapport. Un système sous-financé depuis trois ans, une politique jamais écrite parce que personne n’en avait le mandat, un fournisseur choisi il y a huit ans dans un contexte différent : ce sont des constats sur une situation, pas des fautes individuelles. Un comité de direction qui comprend cette distinction lit le rapport pour décider, pas pour blâmer.
Une fois le rapport en main, la question suivante est de savoir comment le lire et quoi en exiger de l’auditeur en retour. C’est le sujet de notre article Rapport d’audit informatique : comment le lire, qui détaille les questions à poser avant d’accepter des conclusions sans les comprendre.
Par où commencer, dans l’ordre ?
Trois gestes concrets, avant même de penser aux documents.
- Confirmez le périmètre exact du mandat avec l’auditeur : quels systèmes, quels sites, quelle période visée. Une portée floue produit une préparation floue, et des documents rassemblés pour rien.
- Nommez un point de contact interne unique, qui centralise les demandes et les redirige vers les bonnes personnes. Sans ce rôle, les demandes de l’auditeur rebondissent d’une boîte courriel à l’autre, et personne ne sait qui doit répondre.
- Rassemblez les cinq catégories de documents du tableau ci-dessus dans un dossier partagé, même incomplètement. Marquez ce qui manque plutôt que de retarder l’envoi en attendant la perfection : un dossier honnête à 80 % vaut mieux qu’un dossier parfait livré en retard.
Prêt à montrer les choses telles qu’elles sont ? C’est la seule préparation qui compte, au fond. Nous en discutons de dirigeant à dirigeant lors d’un audit TI indépendant : notre rôle est de dresser le portrait, jamais de le maquiller ni de vous vendre ce qui vient après.
Quelle est la checklist audit informatique complète, en un coup d’œil ?
Voici la liste de vérification condensée, à imprimer ou à cocher au fur et à mesure.
Gouvernance
- [ ] Politiques TI à jour
- [ ] Organigramme des responsabilités TI
- [ ] Comptes rendus du comité de direction sur les enjeux TI
Technique
- [ ] Inventaire des actifs (postes, serveurs, appareils mobiles)
- [ ] Schéma réseau à jour
- [ ] Journal des correctifs de sécurité
- [ ] Configuration des pare-feu et des accès à distance
Contrats fournisseurs
- [ ] Ententes de service (SLA) avec les fournisseurs TI
- [ ] Contrats d’hébergement infonuagique
- [ ] Ententes de confidentialité avec les sous-traitants
Conformité Loi 25
- [ ] Registre des incidents de confidentialité
- [ ] Registre des communications de renseignements personnels sans consentement
- [ ] Politique de conservation et de destruction des renseignements personnels
Continuité
- [ ] Plan de relance informatique
- [ ] Résultats des derniers tests de restauration
- [ ] Liste des contacts d’urgence, internes et externes
Pour aller plus loin avec Factero :
Quelles sont les questions les plus fréquentes ?
Un audit informatique est-il obligatoire pour une PME au Québec ?
Non, aucune loi n’exige un audit informatique formel comme tel. La Loi 25 oblige toutefois les entreprises à appliquer des mesures de sécurité raisonnables et proportionnées à la sensibilité des renseignements personnels qu’elles traitent. Un audit indépendant reste le moyen le plus concret de démontrer que ces mesures existent réellement, surtout quand un client, un prêteur ou un assureur l’exige en preuve avant de signer.
Le registre des incidents de confidentialité est-il obligatoire pour une PME ?
Oui. La Loi 25 exige que toute entreprise tienne un registre consignant chaque incident touchant des renseignements personnels, même mineur et même sans avis à la personne concernée. La plupart des PME québécoises découvrent cette obligation seulement au moment de l’audit, pas avant. Si le vôtre n’existe pas encore, dites-le à l’auditeur avant qu’il pose la question : mieux vaut un registre absent documenté qu’un registre absent découvert par lui.
Combien coûte un audit informatique pour une PME ?
Ça dépend du périmètre : nombre de systèmes, de sites, présence ou non de tests d’intrusion, profondeur attendue. Un diagnostic ciblé et un audit complet avec entrevues et analyse technique n’ont rien à voir en prix ni en valeur. Demandez toujours une proposition qui précise le périmètre exact avant de comparer des chiffres : deux mandats appelés « audit informatique » par deux firmes différentes ne couvrent pas nécessairement la même chose.
Combien de temps avant l’audit faut-il commencer à se préparer ?
Dès que le mandat est signé, sans attendre la date de la première rencontre. Réunir cinq catégories de documents et libérer les bonnes personnes prend plus de temps que prévu dans la plupart des organisations, surtout quand une partie de l’infrastructure est gérée par un fournisseur externe qu’il faut aussi prévenir.
