Audit du système d'information : ce qu'un diagnostic à 360° regarde vraiment

Avant d'acheter une maison, vous faites faire un diagnostic : électricité, plomberie, toiture, humidité. Personne ne se contenterait d'une liste des pièces. Pour l'informatique d'une entreprise, beaucoup s'arrêtent pourtant à la liste des pièces.

Le système d'information (le « SI ») désigne tout ce qui fait circuler et conserver l'information dans une entreprise : les ordinateurs, le réseau, les logiciels, les données, et les personnes qui s'en occupent. Auditer son SI, c'est le regarder en entier pour décider quoi faire ensuite.

Un audit n'est pas un contrôle de conformité

On confond souvent les deux. Un contrôle de conformité vérifie des cases : tel logiciel est-il à jour, telle procédure existe-t-elle sur le papier. Il se mène presque mécaniquement, liste d'exigences en main.

Un diagnostic à 360° a un autre but. Il doit donner à la direction une vue d'ensemble assez fiable pour arbitrer un budget avant de s'engager, pas produire un rapport qui dort dans un tiroir. Pour y arriver, il faut d'abord comprendre l'activité de l'entreprise, puis seulement regarder les machines. Sans cela, on obtient une liste de constats exacts mais sans ordre de priorité, donc inutilisable.

Ce qu'un diagnostic complet regarde

Le matériel et le réseau. Ordinateurs, serveurs, âge du parc, dépendance à un fournisseur unique. C'est la partie la plus visible, et souvent la seule regardée quand on parle d'audit informatique. Prise seule, elle dit pourtant peu de chose sur le risque réel.

Les logiciels et les données. Quels logiciels tournent, comment ils échangent entre eux, et ce qui s'est accumulé au fil des années. On parle de dette technique : les raccourcis pris hier qui coûtent aujourd'hui, comme un entretien de voiture repoussé de mois en mois. C'est la partie la moins documentée, et celle qui décide de la faisabilité de tout projet de transformation.

Les personnes et l'organisation. Qui décide, qui maintient, qui documente, et que se passe-t-il si cette personne part demain ? Une installation toute neuve gérée par un seul irremplaçable est un risque aussi sérieux qu'un vieux serveur.

La sécurité. Ce qui est réellement exposé, qui a accès à quoi, et si les sauvegardes sont testées, pas seulement programmées. Le diagnostic repère l'exposition. Une méthode d'analyse de risques permet ensuite de la mesurer et de la classer, par exemple EBIOS Risk Manager, la méthode française publiée par l'ANSSI (l'agence nationale de la sécurité des systèmes d'information).

L'erreur la plus courante : confondre inventaire et diagnostic

Beaucoup d'entreprises qui disent avoir « fait un audit » ont en réalité fait un inventaire : une liste de serveurs, de logiciels et de licences, souvent dressée par l'équipe technique elle-même. C'est une matière première utile, pas un diagnostic.

La différence tient en un mot : la priorisation. Un diagnostic relie chaque constat à ce qu'il change pour l'activité et à son degré d'urgence. Ainsi, un dirigeant peut décider sans avoir à retraduire lui-même une liste de deux cents lignes.

Ce que vous devez avoir en main à la fin

D'abord, une séparation claire entre l'urgent (ce qui risque de tomber en panne à court terme) et l'important mais pas urgent (la dette technique, à traiter avant qu'elle ne devienne un incident).

Ensuite, une feuille de route classée par priorité, avec pour chaque action un ordre de grandeur de coût et de délai. C'est suffisant pour décider, sans attendre un chiffrage détaillé.

Enfin, un document que la direction et les équipes techniques peuvent lire ensemble. Ils parlent rarement le même langage sur ces sujets, faute de support commun.

Combien de temps ça prend

Quelques semaines, pas plusieurs mois. Au-delà, l'état des lieux du premier jour n'est plus celui du jour de la restitution. Une vue d'ensemble fiable et rapide, complétée au besoin par des zooms sur les points sensibles, vaut mieux qu'un audit qui s'étire et retarde justement les décisions qu'il devait éclairer.