Combien coûte un audit de cybersécurité pour une PME ?
En bref : pour une PME, un pré-audit de cybersécurité coûte en général 800 à 2 000 € HT, un audit complet 2 500 à 8 000 € HT et un test d’intrusion 4 000 à 15 000 € HT. Ces fourchettes sont celles que nous constatons pour des PME de 10 à 100 postes en Pays de la Loire. Le bon choix dépend de ce que vous cherchez : une photographie rapide, un plan d’action, ou la preuve que vos défenses tiennent.
Les trois niveaux d’audit et leur prix
| Prestation | Contenu | Budget indicatif |
|---|---|---|
| Pré-audit flash | Une demi-journée à une journée, les 7 domaines passés en revue, rapport synthétique | 800 à 2 000 € HT |
| Audit complet | 2 à 5 jours, entretiens, scans, plan d’action priorisé | 2 500 à 8 000 € HT |
| Test d’intrusion (pentest) | Attaque simulée, externe et/ou interne | 4 000 à 15 000 € HT |
Le test d’intrusion n’a d’intérêt qu’une fois les fondamentaux en place : inutile de payer pour apprendre qu’il manque la double authentification.
Ce que regarde un audit
Qu’il suive le guide d’hygiène informatique de l’ANSSI, le questionnaire d’un donneur d’ordres ou une préparation ISO 27001, un audit examine toujours les mêmes 7 domaines :
- Identités et accès : comptes administrateurs, comptes des anciens salariés, double authentification.
- Postes et serveurs : versions des systèmes, mises à jour, antivirus EDR, chiffrement des portables.
- Réseau : pare-feu, séparation du wifi invités, accès distants, ports exposés sur internet.
- Sauvegardes : règle 3-2-1, copie immuable, et surtout la date du dernier test de restauration.
- Facteur humain : sensibilisation au phishing, charte, procédure de signalement.
- Procédures et continuité : procédure d’incident écrite, plan de reprise testé.
- Conformité RGPD : registre des traitements, contrats avec les prestataires.
Les 5 écarts que l’on retrouve presque toujours
- Double authentification absente ou partielle ;
- Comptes administrateurs en trop, parfois d’anciens prestataires ou salariés ;
- Sauvegardes jamais testées ;
- Postes hors support et pare-feu jamais mis à jour ;
- Aucune procédure d’incident écrite.
Bonne nouvelle : ces écarts se corrigent vite. La plupart de nos clients passent de « préoccupant » à « conforme » en un à trois mois de plan d’action, sans investissement massif.
Un exemple réel
Un sous-traitant naval de 60 collaborateurs, dont le donneur d’ordres avait relevé des écarts majeurs. Audit complet de 192 points, schéma directeur sur trois ans avec priorités et budgets, puis suivi par une mission de DSI à temps partagé : le niveau de conformité cyber est passé de 38/100 à 87/100 en 14 mois, et le contrat-cadre avec le donneur d’ordres a été renouvelé.
Comment réduire le coût de l’audit
- Faites d’abord un pré-audit : mieux vaut découvrir les écarts vous-même que dans un rapport transmis à votre client.
- Traitez les actions rapides avant l’audit : activer la double authentification, désactiver les comptes dormants, tester une restauration.
- Documentez ce qui existe : un auditeur ne valide que ce qui est prouvé.
- Profitez des offres de départ : à Saint-Nazaire, notre agence propose un premier audit d’une heure sur site, gratuit et sans engagement ; pour les sous-traitants du bassin, l’audit initial est souvent offert.
Notre audit n’est lié à aucune obligation d’achat : le rapport vous appartient, et vous restez libre de confier les actions à qui vous voulez.
À lire aussi
Notre offre audit et conseil informatique, notre check-list gratuite des contrôles les plus fréquents, le détail des 7 domaines dans ce que regarde un auditeur, et nos guides prix de l’infogérance et prix d’un standard cloud. Pour un devis, contactez-nous.