Votre comptable fait le point sur vos finances chaque année. Votre mécanicien inspecte votre véhicule de flotte avant l'hiver. Mais quand avez-vous fait examiner la santé réelle de vos systèmes informatiques par un regard extérieur ?
La plupart des dirigeants de PME au Québec répondent « jamais » ou « il y a longtemps ». Ce n'est pas de la négligence — c'est que le quotidien prend le dessus. Sauf que les cybermenaces, elles, ne prennent pas de pause.
Ce que le mot « audit » veut dire en pratique
Le terme peut sembler lourd, mais un audit de sécurité informatique n'est pas une enquête policière. C'est un examen structuré qui regarde trois choses : votre infrastructure technique, vos pratiques organisationnelles et votre conformité aux lois applicables.
Prenons un exemple concret. Une firme d'ingénierie de 35 personnes à Drummondville utilise Microsoft 365 pour le courriel, un serveur local pour les plans AutoCAD, un VPN pour le travail à distance et un pare-feu vieillissant. Un audit va vérifier si chacune de ces pièces est bien configurée, si elles communiquent de façon sécuritaire entre elles et si les employés qui y accèdent le font de manière contrôlée.
Ce n'est pas théorique — c'est un travail de terrain.
Trois volets, trois objectifs différents
Le volet technique : trouver les failles
Un auditeur examine vos équipements réseau, vos serveurs, vos postes de travail et vos services infonuagiques. Il cherche des configurations risquées, des logiciels désuets, des ports réseau ouverts sans raison et des comptes d'utilisateurs orphelins.
Les outils de balayage automatisé identifient les vulnérabilités connues — celles que les pirates exploitent avec des scripts disponibles gratuitement en ligne. Si votre pare-feu n'a pas été mis à jour depuis 18 mois, il y a de bonnes chances qu'une faille documentée existe et soit exploitable.
Un test de pénétration (« pentest ») va encore plus loin : un spécialiste tente activement de s'infiltrer dans vos systèmes en utilisant les mêmes méthodes que les attaquants. C'est optionnel, mais c'est le meilleur moyen de mesurer votre résistance réelle.
Le volet organisationnel : évaluer les habitudes
La technologie la plus robuste du monde ne protège rien si un employé utilise « motdepasse123 » sur tous ses comptes. Le volet organisationnel examine vos politiques écrites (ou leur absence), la façon dont les accès sont attribués et révoqués, la formation offerte au personnel et les procédures en cas d'incident.
En pratique, beaucoup de PME n'ont aucune politique de sécurité formelle. C'est normal quand on a grandi vite — mais c'est un risque que l'audit met en lumière avec des recommandations concrètes.
Le volet conformité : respecter la loi
Depuis septembre 2024, la Loi 25 sur la protection des renseignements personnels au Québec est pleinement en vigueur. Cette loi exige entre autres la désignation d'un responsable de la protection des renseignements personnels, la tenue d'un registre des incidents de confidentialité et la réalisation d'évaluations des facteurs relatifs à la vie privée (ÉFVP) avant certains transferts de données.
Un audit vérifie où vous en êtes par rapport à ces obligations. Ce n'est pas une opinion juridique, mais un état des lieux technique et opérationnel qui aide votre avocat ou votre conseiller en conformité à bâtir un plan.
Ce que les audits révèlent le plus souvent
Après de nombreux audits réalisés dans le milieu des PME, certains constats reviennent avec une régularité frappante.
L'authentification multifacteur (AMF) est absente ou partielle. Microsoft offre l'AMF gratuitement avec ses licences 365 Business, mais selon un rapport de Microsoft publié en 2024, moins de 40 % des comptes professionnels l'activent. C'est la correction la plus simple et la plus efficace qu'un audit recommande presque à chaque fois.
Les correctifs de sécurité accumulent du retard. Un serveur Windows dont les mises à jour sont en retard de six mois, c'est un serveur qui affiche potentiellement des dizaines de vulnérabilités connues. Le Centre canadien pour la cybersécurité identifie le retard d'application des correctifs comme l'un des vecteurs d'attaque les plus exploités.
Les sauvegardes n'ont jamais été testées. Avoir un système de sauvegarde qui tourne est rassurant. Mais si personne n'a jamais vérifié qu'on pouvait restaurer un serveur complet à partir de ces sauvegardes, c'est un faux sentiment de sécurité.
Les comptes d'anciens employés sont encore actifs. Un départ en ressources humaines ne déclenche pas toujours la désactivation des accès TI. Des comptes actifs sans propriétaire légitime sont des portes ouvertes.
Le Wi-Fi invité et le Wi-Fi interne partagent le même réseau. Pas de segmentation signifie qu'un visiteur connecté au Wi-Fi peut potentiellement atteindre vos serveurs internes.
La question de la fréquence
Il n'y a pas de réponse universelle, mais voici des balises raisonnables pour une PME.
Un audit complet une fois par an est la recommandation la plus courante dans les cadres de référence reconnus, incluant le NIST Cybersecurity Framework et le CIS Controls. C'est le rythme que le Centre canadien pour la cybersécurité recommande aussi pour les organisations de taille moyenne.
Des balayages de vulnérabilités trimestriels permettent de détecter les nouvelles failles entre les audits complets. Ces balayages sont largement automatisés et relativement peu coûteux.
Un audit ciblé après tout changement majeur — migration vers le nuage, nouveau logiciel métier, ouverture d'un bureau satellite, acquisition d'une autre entreprise — est une bonne pratique pour s'assurer que les nouvelles pièces du casse-tête sont bien intégrées.
Comment se préparer sans se compliquer la vie
La préparation d'un audit ne demande pas de travail monumental, mais un minimum d'organisation accélère le processus et en améliore la qualité.
Rassemblez ce que vous avez déjà. Inventaire du matériel, liste des logiciels utilisés, contrats avec vos fournisseurs TI, schéma du réseau (même approximatif), politiques écrites si elles existent. Ne perdez pas de temps à créer ce qui n'existe pas — l'audit constatera les lacunes.
Identifiez qui parle aux auditeurs. La personne qui gère votre réseau au quotidien, votre responsable des opérations, éventuellement votre responsable RH pour les questions de gestion des accès. Prévenez-les à l'avance.
Soyez honnête sur vos inquiétudes. Si vous savez que votre pare-feu date de 2018 ou que personne n'a changé le mot de passe administrateur du routeur depuis trois ans, dites-le. L'audit n'est pas un examen — c'est un outil pour avancer.
Transformer le rapport en actions
Un rapport d'audit qui ramasse la poussière sur un bureau ne vaut rien. La valeur réside dans ce que vous en faites.
Les vulnérabilités classées « critiques » ou « élevées » méritent une correction dans les jours ou semaines qui suivent. Souvent, ce sont des modifications de configuration qui ne coûtent que du temps de technicien.
Les constats de niveau « moyen » entrent dans un plan d'amélioration sur trois à six mois. Les observations de niveau « faible » sont notées et intégrées dans votre cycle de maintenance normal.
Un bon rapport d'audit inclut des recommandations priorisées qui tiennent compte de la réalité d'une PME — pas un idéal théorique qui exigerait un budget de multinationale.
Le rapport coût-bénéfice
Pour une PME de 20 à 50 employés, un audit de sécurité se situe typiquement entre quelques milliers et quinze mille dollars, selon la profondeur et la portée. Un test de pénétration additionnel ajoute un coût variable selon la complexité de l'environnement.
En contrepartie, le Commissariat à la protection de la vie privée du Canada rapporte que le coût médian d'une atteinte à la sécurité des données pour les PME canadiennes se chiffre en dizaines de milliers de dollars — sans compter les perturbations opérationnelles, la perte de confiance de la clientèle et le temps de gestion de crise.
L'audit est un investissement de prévention. Comme un examen médical annuel, il ne garantit pas que rien n'arrivera, mais il réduit considérablement les risques d'une mauvaise surprise.
Un point de départ, pas une fin
L'audit de sécurité n'est pas un projet ponctuel avec un début et une fin — c'est le point de départ d'une démarche continue d'amélioration. Chaque cycle d'audit permet de mesurer les progrès, d'ajuster les priorités et de maintenir un niveau de protection adapté à l'évolution des menaces.
Si votre PME n'a jamais fait évaluer sa posture de sécurité par un tiers, c'est un bon moment pour commencer. Adsum Technologies accompagne les PME québécoises dans cette démarche avec une approche pragmatique : des constats clairs, des recommandations priorisées et un accompagnement pour la mise en oeuvre. Plus d'informations sur adsumtech.ca.
