En bref : « Est-ce que mes TI sont corrects ? » Répondez honnêtement à dix questions simples, sans jargon technique, et vous aurez votre réponse. Un audit informatique commence toujours par les mêmes questions, posées en langage humain avant tout terme technique. Comptez vos « je ne sais pas » : le total situe votre organisation dans l’une de trois zones, du correct au préoccupant.
Vous dirigez une PME. Vous n’avez pas de responsable TI à l’interne, ou vous en avez un qui porte aussi trois autres chapeaux. Vous faites confiance à un fournisseur, à un pigiste, parfois à la personne la plus à l’aise avec un ordinateur dans l’équipe. La plupart du temps, ça fonctionne. La nuit, parfois, un doute traverse : est-ce que tout ça tient vraiment ?
Ce malaise n’a pas de nom précis, alors il reste diffus. Vous ne sauriez pas dire exactement ce qui vous inquiète, seulement qu’un doute traîne quelque part entre votre fournisseur, votre équipe et vos données. Les dix questions qui suivent répondent, une à une, à la question que vous vous posez déjà : « Est-ce que mes TI sont corrects ? » Ce sont celles qu’un auditeur informatique indépendant pose en entrant dans une entreprise, avant même de regarder un seul serveur. Vous pouvez y répondre sans connaître un seul terme technique.
Dans cet article
Pourquoi ce malaise, quand personne ne s’occupe vraiment de vos TI ?
Le malaise vient rarement d’un incident déjà vécu. Il vient de l’absence de vérification. Vous payez une facture chaque mois, vous recevez un courriel rassurant de temps en temps, et vous n’avez aucune façon indépendante de savoir si ce qui est en place répond vraiment aux besoins de votre entreprise.
Le Centre canadien pour la cybersécurité publie des contrôles de base et des guides pratiques destinés justement aux PME, et des organismes comme CIRA publient des statistiques sur la cybersécurité des entreprises canadiennes. Nous ne citerons pas de chiffre précis ici, faute d’une source assez récente et vérifiée pour ce texte. Ce que nous observons dans les audits que nous menons, c’est que l’écart entre « avoir un plan de relance » et « avoir testé son plan de relance » revient presque à chaque fois.
Ce n’est pas un jugement. C’est un point de départ.
Quelles sont les 10 questions à se poser sur l’informatique de votre entreprise ?
Répondez à chacune par oui, ou par « je ne sais pas ». Un « non » compte comme un « je ne sais pas » pour la suite. Gardez le compte.
- Si votre serveur ou votre poste principal cessait de fonctionner cette nuit, sauriez-vous demain matin quoi faire, dans quel ordre, avec qui ? C’est la question du plan de relance informatique : un document qui existe avant l’incident, pas une improvisation pendant.
- Quelqu’un a-t-il déjà testé la restauration d’une sauvegarde, pas seulement vérifié qu’elle existe ? Une sauvegarde qui n’a jamais été restaurée est une hypothèse, pas une protection.
- Combien d’heures d’arrêt pouvez-vous tolérer avant que ça fasse vraiment mal à vos revenus ou à vos clients ? Les auditeurs appellent ça le RTO, le délai de rétablissement visé (recovery time objective). Si vous n’avez jamais chiffré ce délai, vos fournisseurs ne peuvent pas concevoir une solution à la bonne mesure.
- Si votre personne TI clé partait demain matin, qui d’autre a les mots de passe ? Une entreprise qui dépend d’une seule personne pour accéder à ses propres systèmes n’a pas un problème de compétence, elle a un problème de continuité.
- Votre questionnaire d’assurance cybersécurité, savez-vous si ce qui est coché est vraiment vrai ? Beaucoup de PME remplissent ce formulaire une fois, avec les meilleures intentions, puis ne le revisitent jamais. Un sinistre qui révèle un écart entre le formulaire et la réalité peut coûter la couverture, pas seulement l’indemnité.
- Un employé qui quitte l’entreprise perd-il tous ses accès le jour même, ou « un de ces jours » ? Les comptes orphelins comptent parmi les portes d’entrée les plus communes dans un incident de sécurité.
- Savez-vous précisément qui, en dehors de votre entreprise, peut se connecter à vos systèmes en ce moment ? Fournisseurs, sous-traitants, anciens partenaires : chaque accès externe est une dépendance que vous portez sans nécessairement la voir.
- Vos données les plus sensibles, celles de vos clients ou de vos employés, savez-vous précisément où elles sont stockées ? C’est une question de conformité à la Loi 25 sur la protection des renseignements personnels autant qu’une question technique.
- Si votre fournisseur TI actuel fermait ses portes demain, combien de temps avant que vous puissiez continuer à opérer normalement ? Une dépendance à un seul fournisseur, sans documentation ni accès de secours, est un risque que la plupart des dirigeants découvrent seulement une fois qu’il se réalise.
- La dernière fois que quelqu’un a vérifié vos systèmes de façon indépendante, c’était qui, et c’était quand ? Si la seule personne qui évalue vos TI est celle qui les vend ou qui les gère, la question mérite d’être posée deux fois.
Comment calculer votre résultat ?
Faites le total de vos « je ne sais pas » et de vos « non ». Ce chiffre seul suffit à situer votre organisation. Pas de pondération savante, pas de sous-question : dix questions, un chiffre entre 0 et 10.
Est-ce que mes TI sont corrects, selon votre résultat ?
Vos TI sont corrects si votre total reste bas ; le tableau suivant traduit chaque score en verdict et en prochain geste.
| Votre total | Zone | Ce que ça signifie |
|---|---|---|
| 0 à 2 | Correct | Vos bases tiennent. Le prochain geste utile est de documenter ce qui fonctionne, pour que ça survive à un roulement de personnel. |
| 3 à 5 | À surveiller | Une partie de vos TI repose sur des suppositions. Rien n’est en feu, mais rien n’est vérifié non plus. |
| 6 à 10 | À vérifier sans tarder | Le nombre de zones d’ombre dépasse ce qu’une entreprise peut porter sans le savoir. |
Si vous êtes dans la zone correcte, la suite logique n’est pas de vous arrêter là. C’est de comprendre ce qu’un audit informatique couvre réellement, pour documenter formellement ce qui, aujourd’hui, tient surtout dans la tête d’une ou deux personnes. Notre article C’est quoi, un audit informatique ? La réponse simple pour un dirigeant explique la démarche sans jargon.
Si vous êtes dans la zone à surveiller, la faille la plus fréquente à ce stade touche la continuité : une sauvegarde qui existe mais qui n’a jamais été restaurée, un plan de relance qui n’a jamais été testé grandeur nature. Notre guide Sauvegardes, plan de relance et tests : le guide complet détaille ce qui distingue une sauvegarde d’une vraie protection.
Si vous êtes dans la zone à vérifier sans tarder, le geste utile n’est pas de tout réparer seul ce soir. C’est de faire évaluer l’ensemble par quelqu’un dont ce n’est pas l’intérêt de vous vendre autre chose ensuite. Notre guide L’audit informatique : le guide complet du dirigeant québécois explique comment se déroule un audit indépendant, de la première rencontre au rapport final.
Est-ce grave de ne pas connaître ces réponses ?
Non, et c’est important de le dire clairement. Diriger une entreprise ne veut pas dire tout savoir sur chaque système qu’elle utilise. Vous ne connaissez probablement pas non plus le détail de votre chaîne d’approvisionnement électrique ou la composition exacte du béton de votre bâtiment, et personne ne vous le reproche.
La différence avec les TI, c’est que personne d’autre ne vous rappelle qu’il faut vérifier. Votre électricien doit respecter un code du bâtiment, inspecté par quelqu’un d’autre que lui. Vos TI n’ont souvent aucun regard extérieur, sauf celui de la personne ou de la firme qui les vend, les installe et les facture. C’est un peu comme conduire une voiture dont personne n’a jamais vérifié les freins : elle roule tant qu’elle roule, et le jour où elle ne roule plus, ce n’est jamais un bon moment.
Ne pas savoir répondre à la question « est-ce que mes TI sont corrects ? » n’est donc pas un aveu d’échec. C’est simplement l’état normal d’une entreprise qui n’a jamais fait vérifier ses TI par quelqu’un d’indépendant. La suite logique n’est pas de vous en vouloir, c’est de faire le geste.
Que faire si votre score est inquiétant ?
Un score dans la zone à vérifier sans tarder n’est pas une catastrophe, c’est un point de départ. La plupart des dirigeants qui répondent honnêtement à ces dix questions découvrent qu’ils ne connaissent pas la réponse à plus de la moitié. Ce n’est pas un jugement sur votre gestion, c’est le résultat normal de diriger une entreprise sans avoir vous-même les mains dans le code tous les jours.
Est-ce que mes TI sont corrects ? Un audit informatique indépendant répond à cette question avec des preuves, pas des impressions :
- Configurations vérifiées poste par poste et serveur par serveur, pas seulement déclarées conformes sur papier.
- Sauvegardes réellement restaurées en test, pas seulement confirmées à l’écran.
- Accès réellement révoqués pour les employés et les fournisseurs qui ne devraient plus en avoir.
- Contrats de fournisseurs réellement lus, clause par clause, pas seulement signés.
Vous en ressortez avec un rapport que vous pouvez montrer à un assureur, à un partenaire d’affaires ou à votre institution financière, pas seulement avec un chiffre.
Personne ne peut vous garantir, avant l’audit, ce qu’il va trouver. Un auditeur sérieux ne vous promet pas un résultat, il vous promet une méthode et une indépendance : il travaille avec votre équipe TI en place, pas à sa place, et son rapport ne sert pas à vous vendre le prochain contrat.
Pour aller plus loin avec Factero :
Foire aux questions
Qu’est-ce que le RTO, et pourquoi ce chiffre compte pour une PME ?
Le RTO (recovery time objective, ou délai de rétablissement visé) est le nombre d’heures d’arrêt que votre entreprise peut absorber avant que les pertes deviennent sérieuses. Sans ce chiffre, un fournisseur ne peut pas concevoir une solution de sauvegarde ou de relance à la bonne mesure. Trop lente, elle coûte cher en arrêt. Trop rapide, elle coûte cher pour rien. Le chiffrer est un exercice de gestion, pas un exercice technique.
Est-ce que mes TI sont corrects si ce quiz me donne un bon score ?
Pas avec certitude : le quiz est fiable pour une chose, vous dire où regarder. Il n’est pas fiable pour vérifier ce qui se passe réellement dans vos systèmes, parce que vous répondez avec ce que vous croyez savoir, pas avec des preuves. Un audit informatique indépendant reprend les mêmes zones et vérifie chacune avec des configurations, des journaux et des tests réels. Les deux ont leur place, mais pas au même moment.
Pourquoi une sauvegarde qu’on n’a jamais restaurée n’est-elle pas une vraie protection ?
Parce qu’une sauvegarde peut échouer silencieusement : un fichier corrompu, une tâche interrompue, un mot de passe expiré sur le service de stockage. Rien de tout ça ne se voit tant que personne n’essaie de restaurer. La seule façon de savoir qu’une sauvegarde fonctionne, c’est de la restaurer une fois, dans un environnement de test, et de vérifier que les données qui en ressortent sont complètes et utilisables.
Un employé qui quitte l’entreprise doit-il perdre ses accès informatiques le jour même ?
Oui, dans l’idéal le jour même : courriel, VPN, applications infonuagiques et comptes partagés compris. Un accès qui traîne après un départ, volontaire ou non, devient un compte orphelin. Personne ne le surveille, personne ne le désactive, et il reste une porte ouverte tant qu’une révision ne le repère pas. La révocation devrait suivre une liste établie à l’avance, pas une mémoire.
Une réponse inexacte au questionnaire d’assurance cyber peut-elle faire perdre la couverture ?
Oui, c’est le risque concret. Les assureurs cyber posent des questions précises sur vos pratiques (chiffrement, authentification multifacteur, sauvegardes testées) et fondent leur tarification et leur promesse de couverture sur ces réponses. Si un sinistre survient et que l’enquête révèle un écart entre ce qui était coché et ce qui était réellement en place, l’assureur peut invoquer cet écart pour réduire ou refuser l’indemnisation. Revoir le formulaire chaque année évite la surprise.
