E‑Concept, prestataire d'audit de sécurité informatique pour les entreprises de l'Orne, de la Sarthe et de Normandie
Six domaines contrôlés, un rapport lisible par un dirigeant et un plan d'action chiffré que vous gardez, quelle que soit la suite. L'audit est mené par nos techniciens d'Alençon et de L'Aigle, dans vos locaux et à distance.
- Rapport remis dans tous les cas
- Aucun engagement de suite
- Intervention sur site dans tout l'Orne
Qu'est-ce qu'un audit de sécurité informatique ?
Un audit de sécurité informatique est un état des lieux méthodique de l'exposition d'une entreprise au risque numérique. Nous inventorions votre installation, vérifions la configuration réelle des protections et comparons ce qui est déclaré à ce qui existe sur les machines.
Beaucoup d'entreprises se pensent protégées parce qu'un antivirus est installé et qu'une sauvegarde tourne, sans avoir vérifié que l'antivirus remonte ses alertes ni qu'une restauration fonctionne. L'audit le vérifie.
Il précède toute décision d'investissement : il évite d'acheter un outil coûteux contre un risque secondaire pendant qu'une faille majeure reste ouverte. Pour une PME, un artisan ou une collectivité de l'Orne, il indique par quoi commencer.
Audit de sécurité informatiqueen bref
Contrôle complet du système d'information d'une organisation (comptes, postes, messagerie, réseau, sauvegardes, usages) qui aboutit à une feuille de route de corrections classées par priorité.
Audit de sécurité ou test d'intrusion ?
| Critère | Audit | Test d'intrusion |
|---|---|---|
| Périmètre | L'ensemble du système d'information | Un périmètre restreint |
| Méthode | Inventaire, vérification des configurations, entretiens | Simulation d'une attaque réelle |
| Question | Par quoi commencer ? | Jusqu'où un attaquant peut‑il aller ? |
| Résultat | Une feuille de route hiérarchisée | Les chemins d'attaque exploitables |
Les six domaines contrôlés pendant l'audit
Un audit ne se limite pas à un balayage du réseau. Nous examinons systématiquement six domaines, car une faille se trouve souvent dans celui qui n'a jamais été vérifié.
-
Domaine 01
Identités et accès : qui peut entrer, avec quels droits
Nous recensons les comptes utilisateurs et administrateurs, vérifions l'authentification multifacteur sur les accès sensibles, contrôlons la politique de mots de passe et recherchons les comptes orphelins, ainsi que les comptes partagés entre plusieurs personnes, qui empêchent toute traçabilité en cas d'incident.
Découverte fréquenteLe compte d'un salarié parti il y a deux ans, encore actif et encore administrateur.
-
Domaine 02
Postes de travail et serveurs : l'état réel de votre parc
Inventaire du matériel, des systèmes et de leur niveau de mise à jour, vérification de l'antivirus ou de l'EDR poste par poste, contrôle du chiffrement des disques des portables et repérage des équipements qui ne reçoivent plus de correctifs de sécurité.
Découverte fréquenteUn serveur sous un système en fin de support, un portable non chiffré qui quitte l'entreprise chaque soir.
-
Domaine 03
Messagerie et Microsoft 365 : la première porte d'entrée des attaques
Nous vérifions le filtrage anti-spam et anti-hameçonnage, les enregistrements SPF, DKIM et DMARC de votre domaine, les règles de redirection automatique et les journaux de connexion à votre environnement Microsoft 365. Nous contrôlons aussi la sauvegarde de ces données, que Microsoft n'assure pas comme une entreprise l'attend.
Découverte fréquenteUne règle de redirection automatique posée par un attaquant après un vol d'identifiants.
-
Domaine 04
Réseau et exposition : ce que l'on voit de votre entreprise depuis Internet
Analyse du pare-feu, des règles ouvertes vers Internet, du cloisonnement entre les usages, de la sécurité du wifi et des accès distants, puis balayage des services exposés publiquement, souvent sans que personne dans l'entreprise le sache.
Découverte fréquenteUne caméra de vidéosurveillance accessible depuis le web, un port d'administration ouvert par un ancien prestataire.
-
Domaine 05
Sauvegardes et reprise d'activité : votre recours le jour d'une attaque
Nous contrôlons ce qui est sauvegardé, la fréquence, l'emplacement des copies, l'existence d'une copie hors ligne ou immuable et la date du dernier test de restauration. Nous mesurons aussi deux valeurs : la durée d'arrêt acceptable pour votre activité et le volume de données que vous pouvez perdre.
Découverte fréquenteUne sauvegarde connectée au réseau, que le rançongiciel chiffre en même temps que le reste.
-
Domaine 06
Organisation et usages : les pratiques réelles de vos équipes
Nous rencontrons les utilisateurs pour comprendre leurs pratiques : partage de fichiers, clés USB, matériel personnel, télétravail, validation des virements. Nous vérifions qu'une conduite à tenir existe en cas d'incident et que chacun sait à qui signaler un message suspect.
Découverte fréquenteAucune procédure d'incident écrite, comme dans la plupart des structures de moins de cinquante personnes.
Ce que vous recevez à la fin de l'audit
Trois documents et une réunion, conçus pour un dirigeant qui n'est pas informaticien. Ils vous appartiennent, y compris si vous confiez les travaux à un autre prestataire ou si vous ne faites rien dans l'immédiat.
Synthèse dirigeant (2 pages)
Ce qui se passe concrètement pour l'entreprise si rien n'est fait.
- Contenu
- Scénarios de risque, niveau global, trois priorités
- Destinataires
- Direction, associés
Rapport détaillé
Chaque constat avec sa preuve technique, son niveau de gravité et la correction recommandée.
- Contenu
- Constats vérifiés, preuves, gravité, correction proposée
- Destinataires
- Responsable informatique, prestataire
Feuille de route chiffrée
Les corrections classées en trois vagues : immédiate, à trois mois et à douze mois.
- Contenu
- Actions en 3 vagues, budget et effort estimés
- Destinataires
- Direction et service financier
Restitution orale (1 heure)
Une réunion pour discuter des arbitrages et répondre à vos questions.
- Contenu
- Présentation, arbitrages, questions ouvertes
- Destinataires
- Toutes les parties
Combien de temps dure un audit de sécurité et combien coûte‑t‑il ?
La durée dépend du nombre de postes, du nombre de sites et de la diversité des outils en place. Pour dix à cinquante utilisateurs sur un site, comptez deux à quatre jours d'intervention, entre analyse technique et entretiens, puis une semaine pour la production du rapport.
Le budget suit la même logique : un prix ferme suppose d'avoir cadré le périmètre, mais nous vous donnons une fourchette dès le premier échange, avant le devis.
Durée d'intervention indicative, en jours
- Diagnostic ciblé, moins de 10 postes1 à 2 jours
- PME de 10 à 50 utilisateurs, 1 site2 à 4 jours
- PME de 50 à 100 utilisateurs ou multisite4 à 7 jours
- Audit avancé avec test d'intrusion5 à 10 jours
Le rapport est remis environ une semaine après la fin de l'intervention.
Pourquoi confier votre audit de sécurité informatique à E‑Concept dans l'Orne ?
Pendant un audit, vous ouvrez votre système d'information et vos pratiques à un tiers. Nos techniciens sont basés à Alençon et à L'Aigle : ils se déplacent dans vos locaux, rencontrent vos équipes et connaissent les ateliers, les cabinets, les commerces et les collectivités du département.
Cette connaissance du terrain permet de distinguer un risque théorique d'un risque réel dans votre contexte. Nous écrivons ce que nous constatons : quand l'essentiel est déjà en place, le rapport le dit.
17 ans
auprès des entreprises ornaises
2 agences
Alençon et L'Aigle
600
spécialistes du réseau Alliance du Numérique
Quand faire réaliser un audit de sécurité ?
Dès la détection du besoin
Un doute sur vos sauvegardes, un antivirus qui expire, une alerte que personne n'a su interpréter.
Au changement de prestataire
Pour connaître l'état réel de l'installation reprise et ce qui a été fait, ou non, ces dernières années.
Après un incident
Une fois l'activité rétablie, l'audit identifie par où l'attaquant est entré pour fermer cette porte.
En prévention
Au moins une fois par an : votre installation évolue avec les mises à jour, les nouveaux logiciels, les arrivées et les départs.
Avant un investissement
Migration vers le cloud, renouvellement de serveurs, ouverture d'un site : la sécurité se prévoit dès la conception.
Face à une exigence externe
Questionnaire d'un assureur cyber, cahier des charges d'un donneur d'ordre, RGPD, directive NIS2 ou marché public.
Quand un pair a été touché
Une commune voisine ou un confrère attaqué peut signaler une campagne active sur votre territoire ou votre secteur d'activité.
Comment se déroule un audit de sécurité informatique avec E‑Concept ?
Cinq étapes, une intervention qui gêne peu votre activité, un périmètre et un budget fixés avant de commencer.
Cadrage du périmètre
Une trentaine de minutes pour identifier vos activités critiques, vos contraintes réglementaires et les limites de l'audit. Vous recevez ensuite une proposition avec la durée, le prix et la liste de ce qui sera examiné.
Collecte et analyse technique
Sur site et à distance : inventaire du parc, relevés de configuration, analyse des journaux, balayage de l'exposition externe. Aucun test perturbateur sans votre accord écrit.
Entretiens avec les utilisateurs
Quelques échanges courts avec les personnes clés pour décrire les usages réels, sans jamais désigner de responsable.
Rédaction et vérification
Chaque constat est confirmé par une preuve technique. Les points de gravité élevée vous sont signalés immédiatement, sans attendre la restitution.
Restitution et plan d'action
Présentation d'une heure, remise des trois documents et discussion des arbitrages. Vous décidez ensuite librement de la suite, avec nous ou sans nous.
Un audit pour connaître vos points faibles et décider de votre calendrier
La plupart des entreprises découvrent leurs failles quand elles sont déjà exploitées. Le premier échange est gratuit, le périmètre et le prix sont annoncés avant de commencer, et le rapport vous reste acquis quelle que soit la suite.
- Périmètre et prix annoncés avant de commencer
- Rapport remis dans tous les cas
- Techniciens basés à Alençon et à L'Aigle
Nos autres services de cybersécurité
Après l'audit, ces services mettent en œuvre les corrections de la feuille de route. La même équipe d'Alençon et de L'Aigle les déploie et les suit.
Toute notre offre de cybersécuritéAntivirus, EDR et SOC managé
Surveillance du comportement des postes, isolement automatique d'une machine infectée et alertes traitées hors heures de bureau.
Pare-feu et sécurité réseau
Pare-feu administré, segmentation du réseau, détection d'intrusion et accès distants sécurisés pour le télétravail.
Gestion des identités et des accès
Authentification multifacteur, authentification unique et fermeture des comptes le jour du départ.
Anti-spam et filtrage des e-mails
Pièces jointes analysées, liens vérifiés au clic et détection des usurpations d'identité avant la boîte de réception.
Gestionnaire de mots de passe
Identifiants uniques et chiffrés, partage sans divulgation et retrait immédiat des accès lors d'un départ.
Sensibilisation et formation
Sessions d'une à deux heures sur des cas normands et campagnes d'hameçonnage simulé, sans désigner personne.
Questions fréquentes sur l'audit de sécurité informatique
Test d'intrusion, durée, impact sur l'activité, découverte grave, propriété du rapport, audit gratuit, fréquence et zone d'intervention.
Quelle est la différence entre un audit de sécurité et un test d'intrusion ?
L'audit dresse un état des lieux complet du système d'information ; le test d'intrusion simule une attaque réelle sur un périmètre restreint. L'audit indique par quoi commencer, le test d'intrusion jusqu'où un attaquant peut aller. Le test d'intrusion est plus utile une fois les corrections de base appliquées, sinon il confirme des failles déjà connues.
Combien de temps dure un audit de sécurité informatique ?
Comptez deux à quatre jours d'intervention pour une entreprise de dix à cinquante utilisateurs sur un site, puis environ une semaine pour la production du rapport. Un périmètre multisite ou une infrastructure plus complexe allonge ce délai. La durée exacte est annoncée dans la proposition, avant le démarrage.
L'audit va‑t‑il perturber l'activité de mon entreprise ?
Non. L'essentiel des relevés se fait à distance ou en dehors des heures de production, et aucun test susceptible d'interrompre un service n'est lancé sans votre accord écrit. Les entretiens avec vos équipes durent une quinzaine de minutes chacun.
Que se passe‑t‑il si l'audit révèle un problème grave ?
Vous êtes prévenu immédiatement, sans attendre la restitution. Une vulnérabilité critique ou une compromission en cours déclenche une alerte le jour même et, si vous le souhaitez, une intervention d'urgence. Un audit a déjà révélé une intrusion active depuis plusieurs semaines, dont l'entreprise n'avait pas connaissance.
Le rapport m'appartient‑il si je ne donne pas suite ?
Oui, sans condition. Les trois documents vous sont remis à la fin de la mission, que vous confiiez les corrections à nos équipes, à votre prestataire actuel ou à personne. Le rapport est rédigé pour être exploitable par un autre prestataire.
Existe‑t‑il un audit de sécurité gratuit ?
Oui : MonAideCyber, dispositif de l'ANSSI, propose un diagnostic gratuit aux TPE, PME, associations et collectivités. Il prend la forme d'un échange d'environ une heure trente, fondé sur vos déclarations, et débouche sur des recommandations générales sans vérification technique de vos machines. C'est un bon point de départ, mais il ne suffit pas pour engager un budget de sécurisation.
À quelle fréquence faut‑il refaire un audit ?
Une fois par an convient à la plupart des PME, avec un audit intermédiaire après tout changement important : migration, ouverture d'un site, changement de prestataire ou incident. Entre deux audits, une supervision continue signale les écarts à mesure qu'ils apparaissent.
Intervenez-vous en dehors de l'Orne ?
Oui, en Normandie et dans les départements voisins, notamment la Sarthe, l'Eure-et-Loir et la Mayenne. Nos agences d'Alençon et de L'Aigle couvrent en priorité tout le département de l'Orne, avec des délais de déplacement courts.