Un audit de sécurité est une photographie. Le jour où il est réalisé, il dit précisément où vous en êtes. Six mois plus tard, de nouveaux serveurs ont été déployés, des collaborateurs sont partis, des applications ont été mises à jour et de nouvelles vulnérabilités ont été publiées. La photo a vieilli. D'où la question que l'on nous pose le plus souvent : à quel rythme faut-il la refaire ?
La réponse honnête : cela dépend. Mais pas de manière floue. Cela dépend de trois facteurs mesurables, et du type de contrôle dont on parle.
Tous les « audits » ne se ressemblent pas
Sous le même mot se cachent des exercices très différents, qui n'ont ni le même coût ni la même cadence :
| Type de contrôle | Ce qu'il vérifie | Cadence recommandée |
|---|---|---|
| Scan de vulnérabilités | Failles connues sur les systèmes et applications | En continu ou au minimum mensuel |
| Revue des accès et des droits | Comptes inactifs, privilèges excessifs | Trimestrielle |
| Test d'intrusion | Ce qu'un attaquant peut réellement exploiter | Annuel, et après chaque changement majeur |
| Audit de configuration | Pare-feux, Active Directory, cloud, sauvegardes | Annuel |
| Audit organisationnel et de conformité | Politiques, processus, exigences réglementaires | Tous les 1 à 2 ans selon le secteur |
| Simulation de phishing | Réflexes des collaborateurs | Trimestrielle |
Les trois facteurs qui fixent votre cadence
Votre secteur et vos obligations
Banque, assurance, microfinance, télécoms, santé, administrations : les secteurs régulés ont souvent des exigences imposées par leur régulateur ou leurs partenaires. Si vous traitez des paiements par carte, la norme PCI DSS impose par exemple des scans de vulnérabilités externes trimestriels et des tests d'intrusion annuels. Au Sénégal, la loi n° 2008-12 sur la protection des données à caractère personnel, dont la CDP veille au respect, impose par ailleurs de garantir la sécurité des données que vous traitez.
Votre exposition
Plus vous exposez de services sur Internet — site marchand, portail client, applications mobiles, accès distants — plus la surface d'attaque est grande et plus le rythme doit être soutenu.
Votre rythme de changement
Une infrastructure qui évolue chaque mois (nouvelles applications, migrations cloud, fusions) justifie des contrôles plus fréquents qu'un système stable.
Notre recommandation selon votre profil
| Profil | Socle minimal |
|---|---|
| PME peu exposée Peu de services en ligne, SI stable | Scan de vulnérabilités mensuel, audit global tous les 18 à 24 mois, sensibilisation annuelle |
| Entreprise exposée Services en ligne, télétravail, données clients | Scan continu, test d'intrusion annuel, revue des accès trimestrielle, audit global annuel |
| Secteur régulé ou critique Finance, télécoms, santé, administrations | Surveillance continue, tests d'intrusion semestriels ou à chaque mise en production majeure, audit de conformité annuel |
De l'audit ponctuel au contrôle continu
La tendance de fond est claire : réduire l'écart entre deux photographies. Plutôt qu'un grand audit annuel suivi de onze mois d'incertitude, on combine :
- Des outils de surveillance continue : gestion des vulnérabilités et des correctifs (Vulnerability Manager Plus, par exemple), SIEM pour les journaux (Log360), audit des changements Active Directory.
- Des contrôles humains ciblés : tests d'intrusion et audits d'architecture, là où l'expertise fait la différence.
- Un tableau de bord partagé avec la direction, qui suit l'avancement des corrections dans le temps.
Le vrai indicateur : ce que vous corrigez
Un rapport d'audit rangé dans un tiroir n'a jamais protégé personne. La valeur d'un audit se mesure au nombre de vulnérabilités effectivement corrigées avant l'audit suivant. Pour y parvenir :
- Prioriser les constats par niveau de risque réel, pas seulement par score technique.
- Attribuer chaque action à un responsable, avec une échéance.
- Vérifier la correction des points critiques par un contre-audit ciblé.
- Comparer chaque audit au précédent : les mêmes constats qui reviennent sont un signal d'alerte.
En résumé
- Distinguez scans, tests d'intrusion, revues d'accès et audits de conformité : chacun a son rythme.
- Votre cadence dépend de votre secteur, de votre exposition et de votre rythme de changement.
- Un incident ou un changement majeur justifie un audit immédiat.
- Mesurez la valeur d'un audit aux corrections réellement appliquées.
Besoin d'un regard expert sur votre situation ?
Nos ingénieurs évaluent votre environnement et vous proposent un plan d'action concret, avec une preuve de concept gratuite et sans engagement.
Intégrateur cybersécurité et infrastructures IT à Dakar, partenaire ManageEngine, Palo Alto Networks, Cloudflare et Veeam. Nos articles s'appuient sur ce que nous observons chaque jour sur le terrain, chez nos clients publics et privés.