Audit de sécurité informatique

Le Studio ASAPH Production réalise des audits de sécurité informatique complets et méthodiques pour identifier l'ensemble des vulnérabilités de votre système d'information. Notre objectif : anticiper les attaques avant qu'elles ne surviennent, vous fournir une cartographie précise de vos risques et vous accompagner dans la correction des failles, des plus critiques aux plus anodines.

À qui s'adresse ce service ?
Ce service s'adresse à toute organisation disposant d'un système d'information, quels que soient sa taille et son secteur :

• TPE, PME, ETI, grandes entreprises.

• Associations, collectivités, établissements publics.

• Commerces, professions libérales (avocats, médecins, experts-comptables).

• Start-ups (protection du capital intellectuel).

• Toute structure traitant des données sensibles (clients, patients, salariés, fournisseurs).

Pourquoi faire un audit de sécurité ?

• Parce que 60% des PME victimes d'une cyberattaque disparaissent dans les 6 mois.

• Parce que les rançongiciels (ransomware) peuvent paralyser votre activité.

• Parce que la conformité RGPD exige des preuves de sécurisation.

• Parce que vos collaborateurs sont souvent la première faille (phishing, mots de passe faibles).

• Parce que la tranquillité d'esprit n'a pas de prix.

Ce que nous auditions

1. Périmètre externe (ce qui est visible depuis Internet)

• Scan complet des adresses IP publiques.

• Détection des ports ouverts et services exposés (SSH, RDP, FTP, bases de données, administration).

• Analyse des vulnérabilités connues (CVE) sur chaque service détecté.

• Test des configurations par défaut ou faibles.

• Recherche d'informations publiques sur votre entreprise (OSINT) : emails, employés, technologies utilisées.

• Vérification des certificats SSL/TLS (faiblesses, expirations).

• Test de la force des mots de passe sur les accès exposés (bruteforce limité et contrôlé).

• Détection de sous-domaines oubliés ou non maintenus.

2. Périmètre interne (ce qui circule dans votre réseau)

• Cartographie du réseau interne (équipements, serveurs, postes).

• Détection de services non sécurisés (SMB v1, Telnet, FTP en clair).

• Test de segmentation (un utilisateur standard peut-il accéder à des serveurs critiques ?).

• Analyse des protocoles de routage et des switchs (VLAN mal configurés, ports ouverts).

• Vérification de la présence d'équipements non autorisés (BYOD, accès pirates).

• Test de l'isolation du Wi-Fi invité (peut-il atteindre le réseau interne ?).

• Recherche de mots de passe par défaut sur les équipements réseau (switchs, bornes, imprimantes).

3. Applications et sites web

• Test d'intrusion sur vos applications métier (internes ou externes).

• Recherche des vulnérabilités OWASP Top 10 :

  • Injections SQL.

  • Cross-Site Scripting (XSS).

  • Cross-Site Request Forgery (CSRF).

  • Faille d'authentification et de gestion de session.

  • Exposition de données sensibles.

  • Mauvaise configuration de sécurité.

• Test des formulaires, uploads de fichiers, API.

• Vérification des droits d'accès (un utilisateur peut-il voir les données d'un autre ?).

4. Postes de travail et serveurs

• Analyse des mises à jour de sécurité (OS, logiciels, navigateurs, plug-ins).

• Détection des logiciels obsolètes ou non supportés (Windows 7, XP, Server 2008).

• Vérification de l'antivirus / EDR (présence, mise à jour, protection active).

• Test de la politique de mots de passe (complexité, durée de vie, stockage).

• Recherche de comptes administrateur locaux avec mot de passe identique.

• Analyse des partages réseau (droits trop permissifs, dossiers ouverts à tous).

• Vérification de la sécurisation des accès distants (RDP, VPN, TeamViewer, AnyDesk).

• Analyse des scripts de démarrage et tâches planifiées (backdoors potentielles).

5. Wi-Fi et accès physiques

• Test de la sécurité du Wi-Fi professionnel :

  • Type de chiffrement (WEP, WPA, WPA2, WPA3).

  • Force du mot de passe.

  • Isolation des clients.

  • Détection de faux points d'accès (evil twin).

• Test de la sécurité du Wi-Fi invité (isolation, filtrage, limitation).

• Vérification des accès physiques aux locaux techniques (baies, serveurs, switchs).

• Test de la politique "bureau propre" (mots de passe laissés sur des post-it, sessions non verrouillées).

6. Facteur humain (ingénierie sociale)

• Test d'envoi de phishing simulé (email piégé mais inoffensif).

• Analyse du taux de clics sur des liens suspects.

• Test d'usurpation téléphonique (un faux prestataire peut-il obtenir des informations ?).

• Test de dépôt physique (clé USB piégée dans l'accueil).

• Sensibilisation recommandée à l'issue des tests.

7. Sauvegardes et continuité d'activité

• Existence et vérification des sauvegardes (sont-elles vraiment fonctionnelles ?).

• Séparation des sauvegardes (hors site, hors ligne, cloud immutable).

• Test de restauration complète (simulation après rançongiciel).

• Plan de reprise après sinistre (PRA) : existe-t-il ? Est-il réaliste ? Est-il testé ?

Méthodologie de l'audit de sécurité

    Phase Description Livrable Cadrage Définition du périmètre, des règles d'engagement (pas de dégradation de service), signature d'une clause de confidentialité Périmètre validé Collecte passive Récupération d'informations publiques sans interagir avec vos systèmes Rapport OSINT Analyse active Scans, tests d'intrusion contrôlés, tentatives d'accès Journaux détaillés Exploitation Tentatives d'escalade de privilèges, mouvement latéral (reproduction d'une attaque réelle) Preuves de concept Analyse et priorisation Classement des vulnérabilités par niveau de criticité (Critique, Élevé, Moyen, Faible, Information) Matrice de risques Rédaction du rapport Document complet avec preuves, explications et préconisations Rapport final Restitution Présentation orale devant l'équipe de direction et technique Session d'échange

Ce que vous recevez (rapport d'audit de sécurité)

Votre rapport confidentiel contient :

1. Synthèse exécutive (2 pages) – pour la direction : risques majeurs, actions prioritaires, budget estimé.

2. Cartographie des actifs (tout ce qui a été découvert).

3. Liste des vulnérabilités avec :

   • Description technique.

   • Niveau de criticité (score CVSS).

   • Preuve de concept (capture d'écran, log).

   • Impact potentiel en cas d'exploitation.

   • Préconisation détaillée pour corriger.

   • Estimation du temps de correction.

4. Rapport d'exploitation : ce qu'un attaquant aurait pu faire (données exfiltrées, prise de contrôle, etc.).

5. Plan d'action priorisé sur 4 horizons :

   • Immédiat (48h) : failles critiques exposées sur Internet.

   • Urgent (15 jours) : correctifs de sécurité majeurs.

   • Court terme (3 mois) : améliorations structurelles.

   • Moyen terme (6-12 mois) : évolutions stratégiques.

6. Recommandations de sensibilisation pour vos équipes.

7. Annexes techniques : logs, captures, scripts utilisés (à des fins de vérification).

Types d'audits de sécurité spécifiques

    Type d'audit Description Idéal pour Audit de conformité Vérification par rapport au RGPD, LCEN, norme ISO 27001, ou exigence sectorielle (HDS, etc.) Secteurs réglementés Test d'intrusion externe Simulation d'une attaque depuis Internet Toute structure exposée Test d'intrusion interne Simulation d'un employé malveillant ou d'un visiteur Entreprises avec données sensibles Test de boîte noire Aucune information préalable (attaque réelle) Validation de la sécurité "en conditions réelles" Test de boîte blanche Accès à la documentation, aux codes sources Audit complet et approfondi Audit de code source Analyse manuelle et automatisée des applications maison Start-ups, éditeurs de logiciels Audit de configuration Vérification des serveurs, pare-feu, routeurs, switchs Entreprises sans RSSI Phishing simulation Envoi de faux emails pour mesurer la vigilance Sensibilisation des équipes Quick audit Diagnostic rapide (1/2 journée) sur un point précis Urgence, doute ponctuel

Ce que nous NE faisons PAS

• Des tests destructifs (nous ne supprimons pas vos données).

• Des attaques par déni de service (DoS/DDoS).

• De l'exploitation non contrôlée (nous stoppons dès qu'une faille est détectée).

• La divulgation de vos vulnérabilités (confidentialité absolue).

Exemples de vulnérabilités fréquemment détectées

• Un serveur RDP ouvert sur Internet avec un mot de passe "Admin123".

• Une base de données accessible sans authentification.

• Des mises à jour de sécurité non appliquées depuis 18 mois.

• Un Wi-Fi invité qui permet d'accéder au réseau interne.

• Des comptes d'administration partagés avec le même mot de passe sur 20 postes.

• Des sauvegardes sur le même disque que les données (inutile en cas de rançongiciel).

• Un site web vulnérable aux injections SQL exposant les données clients.

Délais et tarifs

• Quick audit (1/2 journée sur site, livraison d'une fiche synthétique) : [exemple : 500€ HT].

• Audit de sécurité standard (PME, 10-50 équipements, tests externes + internes) : 1 à 2 semaines – à partir de [exemple : 2 500€ HT].

• Audit complet avec tests d'intrusion approfondis : 3 à 4 semaines – sur devis.

• Simulation de phishing seule : [exemple : 300€ HT] pour 100 destinataires.

• Restitution orale (option) : [exemple : 350€ HT].

Pourquoi choisir le Studio ASAPH Production pour votre audit de sécurité ?

• Approche éthique et légale (tout est fait avec votre accord écrit).

• Pas de conflit d'intérêts : nous ne vendons pas de solutions de sécurité (juste des audits).

• Transparence totale : vous recevez TOUTES les vulnérabilités, même les plus gênantes.

• Rapport compréhensible par tous (pas seulement par des experts).

• Accompagnement à la correction (nous pouvons vous aider à réparer, ou vous laisser faire en interne).

• Discrétion absolue : signature d'un NDA avant toute intervention.

• Expertise terrain : nous avons déjà accompagné des dizaines d'entreprises.

Ce que nos clients disent (en substance)

*"Grâce à l'audit, nous avons découvert que notre serveur était exposé sur Internet depuis 2 ans sans pare-feu. Studio ASAPH Production nous a évité une catastrophe."* – Dirigeant d'un cabinet médical.
"Le rapport était clair, précis et les préconisations réalisables. Nous avons pu tout corriger en moins d'un mois." – Responsable IT d'une PME de 50 personnes.

Engagements

• Confidentialité totale (NDA systématique).

• Aucune divulgation sans votre accord explicite.

• Tests non destructifs (nous ne prenons aucun risque pour votre activité).

• Rapport sous 10 jours ouvrés après la fin des tests.

Contactez-nous
Vous ne savez pas par où commencer en sécurité informatique ? Vous avez un doute sur votre niveau de protection ? Contactez le Studio ASAPH Production pour un premier échange gratuit et confidentiel. Nous définissons ensemble le périmètre de l'audit et vous fournissons un devis clair, sans engagement.