Pourquoi réaliser un audit maintenant
- 01
Vous n’avez jamais fait le point
Le SI a grandi par ajouts successifs et personne n’a de vision d’ensemble de ce qui est exposé.
- 02
Le dernier audit dort dans un dossier
Trois cents lignes de constats et aucune décision : c’est le signe qu’il manquait une priorisation.
- 03
Une échéance se rapproche
Renouvellement d’assurance, appel d’offres, exigence d’un grand compte : il faut des éléments concrets.
- 04
Vous changez de prestataire
Avant de confier ou reprendre un SI, mieux vaut savoir dans quel état il se trouve.
Nos formats d’audit à Nantes
AD / Entra Exposure Review
Les chemins d’attaque liés aux identités, en 1 à 2 semaines, avec un simple accès en lecture.Voir la revueExposition & vulnérabilités
Scans, exposition externe et priorisation selon le risque réel.Voir le diagnosticRevue de résilience
Vos sauvegardes survivraient-elles à une compromission du SI ?Voir la revue
Ce qu’un audit de cybersécurité doit produire
Un audit de sécurité a un seul objectif : permettre une décision. Il doit donc répondre à trois questions. Qu’est-ce qui expose réellement l’entreprise ? Dans quel ordre le traiter ? Qui s’en charge ? Une vulnérabilité critique sur un serveur isolé pèse parfois moins qu’un compte de service trop puissant, et seule une lecture du contexte permet de le voir.
Nous croisons pour cela plusieurs surfaces : annuaires et identités, configuration de Microsoft 365, services visibles depuis Internet, vulnérabilités techniques, pare-feu et accès distants. L’analyse suit les chemins qu’emprunterait un attaquant plutôt que les rubriques d’un référentiel.
Soyons clairs sur ce que couvrent nos audits : il s’agit de revues de configuration et d’exposition, pas de tests d’intrusion applicatifs avancés ni d’audits réglementaires exhaustifs. Si l’un de ces deux exercices est requis, nous vous le disons dès le cadrage.
Les surfaces que nous pouvons auditer
- Active Directory et Entra ID
- Tenant Microsoft 365
- Exposition externe
- Vulnérabilités de vos serveurs et postes
- Pare-feu, VPN et segmentation
- Protection des sauvegardes
Le déroulé d’un audit
- 01
Cadrer
Les surfaces à couvrir, les interlocuteurs et les fenêtres de scan.
- 02
Collecter
Les données techniques, le plus souvent en lecture seule.
- 03
Analyser
Les chemins vers vos actifs critiques et les écarts prioritaires.
- 04
Restituer
Les constats aux équipes techniques comme à la direction.
Ce que vous obtenez
- L’état initial de votre exposition
- Des faiblesses classées selon le risque
- Un plan de remédiation avec actions, responsables et séquencement
- La possibilité d’un recontrôle après correction
Le budget d’un audit cybersécurité
- Identités2 990 € HT
Pour un environnement AD et Entra de complexité standard.
- Sauvegardes2 900 € HT
Jusqu’à environ 100 workloads.
- Audit et corrections5 900 € HT
L’Accélérateur Sécurisation 30 jours corrige ce qu’il constate (début 2027).
- Nombre de surfaces
- Un périmètre ciblé ou plusieurs domaines combinés.
- Taille de l’environnement
- Plusieurs forêts ou des tenants complexes se chiffrent sur devis.
- Suites données
- Remédiation et suivi récurrent, définis selon vos besoins.
Comment rater un audit
- Lancer un audit sans prévoir qui réalisera les corrections.
- Juger la qualité d’un rapport à son nombre de pages.
- Limiter le périmètre à ce qui donnera un bon score.
- Oublier de recontrôler une fois les corrections appliquées.
Un audit restitué en face à face
Une restitution se passe mieux autour d’une table qu’en pièce jointe. Nos consultants, basés à Nantes, présentent leurs conclusions à vos équipes et à votre direction, puis restent disponibles pour la remédiation.
15 bis allée du Commandant Charcot, 44000 Nantes. Standard : 02 30 30 90 90.
Voir le plan d’accès- création à Nantes
- 2015
- collaborateurs
- 15
- clients accompagnés
- 150+
- serveurs exploités
- 500+
150+ clients accompagnés, des PME aux grands groupes
Entreprises, établissements de santé et collectivités nous confient leur système d’information depuis 2015.
« Des réponses toujours claires, pertinentes et parfaitement alignées avec nos besoins. »
Didier Loquet, RSI, HAD Nantes et Région « Epsight connaît notre fonctionnement par cœur. On parle le même langage. »
Anthony Gachet, Responsable IT, Baker Tilly France
Vos questions, nos réponses
Quelle différence entre un audit de sécurité et un pentest ?
L’audit examine la configuration et l’exposition d’un SI pour en dégager des priorités. Le pentest simule une attaque pour prouver qu’une faille est exploitable. Nos missions relèvent de la première catégorie : le pentest applicatif avancé n’en fait pas partie.
Combien de temps dure un audit ?
Une AD / Entra Exposure Review prend 1 à 2 semaines. La durée d’un périmètre plus large dépend du nombre de surfaces et d’environnements couverts.
L’audit va-t-il perturber la production ?
La collecte se fait autant que possible en lecture seule. Les scans sont planifiés sur des fenêtres convenues avec vos équipes.
Qui réalise les corrections après l’audit ?
Vos équipes, votre prestataire ou Epsight. La responsabilité de chaque action est définie dans le plan de remédiation, et nous pouvons recontrôler le résultat.
Comment présenter les résultats à la direction ?
Les constats sont traduits en risques et en décisions à prendre, avec un ordre de priorité. Cela permet d’arbitrer un budget sur des faits, sans se perdre dans le détail technique.
Parlons de votre situation. 20 mn avec un architecte
Un premier échange offert, sans obligation, pour situer votre sujet et vos priorités.
Depuis 2015, plus de 150 clients accompagnés par notre équipe à Nantes : PME, ETI, collectivités et grands groupes.