Audit indépendant
Audit de sécurité informatique
Un audit de sécurité informatique répond à une autre question qu’un test d’intrusion. Le test d’intrusion (pentest) demande peut-on entrer. L’audit demande est-ce correctement tenu — et produit les éléments qui permettent de le démontrer.
Nous examinons votre architecture, vos configurations, votre code source et votre organisation au regard du référentiel qui s’applique à vous, puis nous vous remettons une analyse d’écart et une feuille de route hiérarchisée. Le certificat, lui, relève d’un organisme accrédité : nous produisons les constats sur lesquels il s’appuie.
Ils nous font confiance
Objectifs d’un audit de sécurité informatique
Un audit de sécurité informatique — on parle aussi d’audit de cybersécurité — mesure l’écart entre la sécurité que vous croyez avoir en place et celle qui est réellement en service. Il ne cherche pas à entrer : il vérifie que les mesures existent, qu’elles sont correctement paramétrées et qu’elles sont appliquées.
- Établir un état des lieux opposable : un document daté et signé, que vous présentez à un client grand compte, à un assureur ou à votre comité de direction.
- Identifier les écarts avant qu’ils ne deviennent des incidents : comptes d’administration partagés, sauvegardes jamais restaurées, cloisonnement contourné par une règle temporaire devenue permanente.
- Préparer une certification ou une échéance contractuelle : audit à blanc avant un passage en certification ISO/IEC 27001, anticipation de la directive (UE) 2022/2555 (NIS 2), exigences imposées par un donneur d’ordre.
- Hiérarchiser les investissements : chaque écart est coté en risque et en effort, ce qui transforme une liste de constats en arbitrage budgétaire défendable.
- Répondre à une question précise : un questionnaire de sécurité reçu d’un client, une remarque d’auditeur, une acquisition à intégrer.
Un audit ne remplace pas un test d’intrusion, et l’inverse est tout aussi vrai : le premier donne l’étendue et la preuve documentaire, le second la profondeur. Dites-nous ce qui a déclenché votre question, nous vous dirons lequel des deux y répond.
Comparaison
Audit ou test d’intrusion ?
Les deux prestations sont complémentaires et, dans les secteurs régulés, les deux sont attendues. La distinction compte au moment de définir le périmètre : la voici sans détour.
Ce que produit chacun des deux
| Audit de sécurité | Test d’intrusion | |
|---|---|---|
| Question posée | Les bonnes mesures sont-elles en place, et appliquées ? | Un attaquant peut-il réellement entrer ? |
| Méthode | Revue d’architecture et de configuration, revue de code, entretiens, échantillonnage de preuves | Exploitation active, depuis la position d’un attaquant |
| Résultat | Analyse d’écart au regard d’un référentiel et feuille de route hiérarchisée | Vulnérabilités exploitées, avec preuves et étapes de reproduction |
| Adapté à | Certification, due diligence, exigences contractuelles, arbitrage budgétaire | Démontrer l’exposition réelle et valider les correctifs |
La combinaison la plus fréquente : un audit pour savoir où sont les écarts, un test d’intrusion pour établir lesquels sont exploitables. Un audit de vulnérabilités se situe entre les deux ; la différence est détaillée dans notre article scan de vulnérabilités ou test d’intrusion.
Types d’audit : architecture, configuration, code source, organisation
Le marché français range les audits de sécurité selon quatre activités que reconnaissent RSSI, DSI et directions des achats. Nous les vendons séparément ou combinées.
Audit d’architecture
Nous examinons la conception : cloisonnement des zones réseau, flux autorisés entre elles, interconnexions avec vos partenaires et avec Internet, chemins d’administration, placement des annuaires, redondance. L’objet du travail est le schéma et la réalité qu’il décrit, pas encore la vulnérabilité. Le constat le plus fréquent ? Un cloisonnement correct sur le papier, contourné par une règle de pare-feu ouverte « le temps d’un projet » et jamais refermée.
Audit de configuration
Nous confrontons le paramétrage réel de vos systèmes à un référentiel de durcissement : systèmes d’exploitation, hyperviseurs, annuaire Active Directory, bases de données, équipements réseau et pare-feu, postes de travail, abonnements AWS, Azure et GCP, locataires Microsoft 365. Les écarts sont relevés sur exports de configuration, puis contrôlés par sondage sur les machines. C’est l’audit qui produit le plus de correctifs immédiatement applicables.
Audit de code source
Nous relisons le code des composants qui portent le risque : authentification, gestion de session, contrôle d’accès, traitement des entrées, gestion des secrets, chaîne de dépendances. L’analyse outillée sert à cibler, la relecture manuelle à conclure : sur nos dernières missions, plus de la moitié des constats de criticité élevée n’étaient remontés par aucun outil d’analyse statique. Le périmètre se définit au composant.
Audit organisationnel
Nous évaluons ce qui fait tenir le reste : politique de sécurité, gestion des accès et des arrivées-départs, gestion des correctifs, sauvegardes et essais de restauration, journalisation et détection, traitement des incidents, continuité d’activité, sécurité des prestataires. La méthode est l’entretien et l’échantillonnage de preuves : une procédure dont personne ne peut produire la dernière exécution est notée comme telle — c’est exactement ce qu’un auditeur externe viendra vérifier.
Approches : boîte noire, boîte grise, boîte blanche
L’approche décrit la quantité d’informations dont dispose l’équipe au début de la mission. Sur un audit, elle ne se choisit pas comme sur un test d’intrusion.
Boîte noire (black box)
Aucune information n’est transmise : nous partons d’un nom de domaine ou d’une plage d’adresses IP. En audit, l’usage est étroit mais réel — mesurer ce que votre système d’information expose sans que vous le sachiez : actifs oubliés, environnements de recette accessibles, interfaces d’administration publiées. Elle ne permet en revanche de conclure ni sur une configuration ni sur une procédure, puisque ni l’une ni l’autre ne s’observent de l’extérieur.
Boîte grise (grey box)
Nous recevons des comptes, une documentation fonctionnelle et un accès limité aux environnements. C’est le bon compromis lorsque l’audit doit rester proportionné : nous vérifions par sondage ce qui est déclaré, sans dépouiller l’intégralité des configurations. Le rapport indique alors la taille de l’échantillon et ce qui n’a pas été couvert.
Boîte blanche (white box)
Accès complet : exports de configuration, schémas d’architecture, code source, politiques internes, entretiens avec les équipes d’exploitation. C’est l’approche que nous recommandons pour un audit, et celle qu’attendra votre organisme de certification. À budget égal, elle couvre davantage de périmètre, parce qu’aucune journée n’est consacrée à redécouvrir ce que vous pouvez nous remettre en une heure. La boîte noire garde son intérêt en complément, pour confronter ce que la documentation décrit à ce qui est réellement exposé.
Notre méthodologie et le déroulement de l’audit
Comptez deux à quatre semaines, selon le périmètre et selon la rapidité avec laquelle la documentation nous parvient. Nous nous appuyons sur des référentiels publics plutôt que sur une méthode maison : l’Annexe A de l’ISO/IEC 27001 et l’ISO/IEC 27002, les CIS Benchmarks pour le durcissement, le guide d’hygiène informatique publié par l’ANSSI, l’OWASP ASVS et le WSTG pour les composants web, le MASTG pour le mobile, le PTES pour la part offensive. Chaque constat cite le référentiel et la mesure concernés ; le détail figure sur notre page méthodologies.
Cadrage et choix du référentiel
Nous convenons du référentiel applicable — ISO/IEC 27001, objectifs de la directive (UE) 2022/2555 (NIS 2), PCI DSS, critères SOC 2 ou votre politique interne — ainsi que du périmètre, des exclusions et du calendrier. Les contrôles techniques ne commencent qu’après votre mandat écrit (articles 323-1 et suivants du code pénal).
Collecte des éléments
Exports de configuration, schémas d’architecture, politiques et procédures, extraits de journaux, accès en lecture au code retenu, puis entretiens courts avec les personnes qui exploitent réellement les systèmes. La liste des éléments attendus vous est remise dès le cadrage.
Revue technique
Durcissement des systèmes, identités et comptes à privilèges, cloisonnement réseau, journalisation et détection, sauvegarde et restauration, configuration des environnements cloud, exposition externe. Les contrôles outillés couvrent l’étendue, la vérification manuelle conclut.
Revue organisationnelle
Entretiens avec l’exploitation, le développement et la direction, puis échantillonnage de preuves : nous demandons la dernière exécution réelle de chaque procédure présentée, et non le document qui la décrit.
Analyse d’écart et hiérarchisation
Chaque écart est rattaché à la mesure du référentiel qu’il met en défaut, coté en risque et en effort, et assorti d’une remédiation concrète. Un constat critique vous est signalé sans attendre le rapport.
Rapport, restitution et contre-audit
Remise du rapport en français, réunion de restitution avec vos équipes, puis vérification des correctifs dans les 90 jours — incluse dans le prix.
Ce que nous examinons
Un audit complet couvre les domaines ci-dessous. Si une question précise est à l’origine de votre demande, nous cadrons un périmètre plus étroit — et le rapport dit alors ce qui n’a pas été couvert.
Livrables : rapport, restitution et contre-audit
Ce que vous achetez n’est pas un nombre de jours, c’est ce qu’il en reste ensuite. Quatre livrables, aucun en option.
Le rapport
Une synthèse managériale de deux pages ouvre le document : niveau de maturité constaté, écarts majeurs, décisions à prendre, sans jargon. Vient ensuite l’analyse d’écart, une fiche par constat : description, élément de preuve, mesure du référentiel mise en défaut, cotation du risque dans votre contexte, effort estimé et remédiation recommandée. Les annexes précisent le périmètre audité, la méthode suivie et les points contrôlés sans écart — souvent la partie la plus utile face à un auditeur. Rapport en français, en PDF, avec un tableau de suivi importable dans votre outil de tickets.
La feuille de route
Les constats sont ordonnés en trois vagues : ce qui se corrige en quelques jours, ce qui demande un projet trimestriel, ce qui relève d’une décision d’investissement. Chaque ligne porte un effort estimé, de sorte que le document se présente tel quel en comité de direction.
La restitution
Une heure en visioconférence — ou sur site si vous le souhaitez — animée par l’auditeur qui a conduit la mission, et non par un commercial. Vos équipes posent leurs questions, nous justifions chaque cotation, et nous corrigeons le rapport si un élément de contexte nous avait échappé.
Le contre-audit
Après le déploiement de vos correctifs, nous revérifions les écarts relevés et nous émettons un rapport de contre-audit attestant de ce qui est refermé et de ce qui reste ouvert. Il est compris dans le prix, dans les 90 jours suivant la remise du rapport initial — et c’est ce second document que nos clients transmettent à leur donneur d’ordre.
Témoignages clients
Ce que nos clients disent de nous
Ce que nous faisons, et ce que nous ne faisons pas
Sur un audit de sécurité, la frontière compte autant que la prestation. Autant l’écrire ici.
Nous auditons, nous ne certifions pas. Un certificat ISO/IEC 27001 est délivré par un organisme de certification accrédité, et les règles d’impartialité interdisent à un consultant de certifier son propre client. Nous ne délivrons ni certificat, ni attestation de conformité : nous produisons l’évaluation indépendante et le dossier de preuves sur lesquels la certification s’appuie — y compris sous forme d’audit à blanc, détaillé sur notre page ISO 27001.
Nous ne détenons aucune qualification délivrée par l’ANSSI. Cette qualification est une démarche volontaire : elle n’est pas requise pour un audit de sécurité ou un test d’intrusion commandé par une entreprise privée. En revanche, les contrôles des systèmes d’information d’importance vitale ordonnés au titre de l’article L. 1332-6-3 du code de la défense sont réalisés par l’ANSSI, par des services de l’État désignés par le Premier ministre, ou par des prestataires de service qualifiés : nous ne soumissionnons pas sur ces prestations. Nous traitons la question en détail dans Faut-il un prestataire qualifié pour votre test d’intrusion ?.
Sur NIS 2, nous parlons de préparation, pas de mise en conformité obligatoire. La directive (UE) 2022/2555 (NIS 2) n’est pas transposée en droit français à ce jour : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est encore en cours d’examen parlementaire. Nous travaillons donc sur les objectifs de la directive, et sur ce qui restera vrai après la transposition. Voyez notre page NIS 2.
Où vont vos données. Haxoris est une société établie dans l’Union européenne. Les éléments collectés pendant l’audit y sont chiffrés, conservés et supprimés à l’échéance prévue au contrat. Nous intervenons comme sous-traitant au sens de l’article 28 du RGPD, sans transfert hors Union européenne à encadrer.
Dernière vérification : 11 septembre 2026.
Pourquoi choisir Haxoris ?
Des prestataires capables d’auditer, il en existe beaucoup. La différence se joue sur ce qu’il vous reste ensuite : une feuille de route applicable, un interlocuteur qui a lui-même conduit l’audit, et la preuve écrite que l’écart est refermé.
Certifications de notre équipe
Contre-audit inclus, sans surcoût :
La vérification des correctifs fait partie de la mission, dans les 90 jours suivant la remise du rapport. Vous obtenez un document attestant des écarts refermés, sans ligne supplémentaire sur la facture.
Nos tarifs sont publics :
Nous publions nos fourchettes de prix et notre unité de compte, le jour-homme, avant tout rendez-vous. Vous comparez sur des chiffres, pas sur des impressions.
Vous savez qui audite :
Le nom, le parcours et les certifications de l’auditeur affecté vous sont communiqués avant la signature, et c’est cette même personne qui anime la restitution.
Indépendance assumée :
Nous ne revendons ni équipements, ni licences, ni la mise en œuvre de nos propres constats. Rien dans le rapport ne sert à vous vendre autre chose.
Foire aux questions
01 Sur quel référentiel auditez-vous ?
Le plus souvent l’ISO/IEC 27001 et son Annexe A, et les objectifs de la directive (UE) 2022/2555 (NIS 2) pour les organisations qui s’y préparent ; le PCI DSS pour les environnements de paiement. Les critères SOC 2 ou votre propre politique interne sont également possibles, et si un client vous a adressé un questionnaire de sécurité, nous le reprenons point par point. Les référentiels techniques que nous appliquons sont détaillés sur notre page méthodologies.
02 Combien coûte un audit de sécurité informatique ?
Le prix dépend du périmètre et de la documentation déjà disponible. Un audit ciblé sur un seul environnement démarre autour de 2 000 € HT ; un audit couvrant l’ensemble d’un système de management de la sécurité de l’information représente un travail nettement plus important. Contrairement à l’usage du marché français, nous communiquons nos fourchettes et notre tarif journalier avant tout rendez-vous, et le devis est forfaitaire après la réunion de cadrage. Le mode de calcul est détaillé dans notre article sur le prix d’un test d’intrusion.
03 Combien de jours-homme faut-il prévoir ?
Un audit de configuration sur un périmètre restreint tient souvent en 3 à 5 jours-homme. Sur le système d’information d’une PME ou d’une ETI, un audit d’architecture et de configuration se situe couramment entre 8 et 15 jours-homme, soit deux à quatre semaines de calendrier. Un audit de code source se chiffre au volume et à la criticité des composants retenus. Le nombre de jours, les dates et le nom de l’auditeur figurent dans le devis.
04 Boîte noire, boîte grise ou boîte blanche : que choisir ?
La boîte blanche dans la grande majorité des cas : un audit conclut sur des configurations, des procédures et du code, et aucun des trois ne s’observe de l’extérieur. À budget égal, l’accès complet couvre davantage de périmètre. La boîte grise convient lorsque l’audit doit rester proportionné et procéder par sondage. La boîte noire (black box) garde son utilité en complément, pour mesurer ce que votre système d’information expose réellement sur Internet ; c’est en revanche l’approche par défaut d’un test d’intrusion externe.
05 Le contre-audit est-il inclus ?
Oui, et sans supplément. Une fois vos correctifs déployés, nous revérifions les écarts relevés et nous émettons un rapport de contre-audit attestant de ce qui est refermé et de ce qui reste ouvert. Il est compris dans le prix, dans les 90 jours suivant la remise du rapport initial, et il figure comme tel dans le devis.
06 Faut-il un prestataire qualifié ?
Pas dans le cas général. La qualification délivrée par l’ANSSI est une démarche volontaire : elle n’est pas requise pour un audit ou un test d’intrusion commandé par une entreprise privée, ni pour une démarche ISO 27001, ni pour préparer la directive (UE) 2022/2555 (NIS 2). Elle est en revanche attendue dans certains marchés publics, et les contrôles des systèmes d’information d’importance vitale ordonnés au titre de l’article L. 1332-6-3 du code de la défense sont réalisés par l’ANSSI, par des services de l’État désignés par le Premier ministre, ou par des prestataires de service qualifiés. Haxoris ne détient aucune qualification délivrée par l’ANSSI et ne soumissionne pas sur ces prestations. Ce qu’il faut demander à un prestataire non qualifié — méthodologie écrite, certifications individuelles, exemple de rapport, assurance, traitement des données — est détaillé dans notre article consacré à la question.
07 Délivrez-vous un certificat ou une attestation de conformité ?
Non. Un certificat ISO/IEC 27001 est délivré par un organisme de certification accrédité, et un prestataire qui réaliserait par ailleurs la remédiation n’a pas à le délivrer. Nous produisons l’évaluation indépendante et le dossier de preuves sur lesquels la certification s’appuie, ainsi que l’audit à blanc qui précède le passage devant l’organisme de certification. Le rapport d’audit et le rapport de contre-audit sont des documents datés et signés. Pour préparer la mission en interne, voyez notre article préparer un audit de cybersécurité.
