Comment se déroule un audit de cybersécurité en PME

« On a un bon antivirus et un informaticien fiable, on est corrects. » Si vous dirigez une PME, vous avez peut-être déjà pensé cette phrase. Elle n'est pas fausse : la plupart des entreprises ont des protections. Ce qui leur manque, c'est une vue d'ensemble.

Les chiffres racontent une autre histoire. Selon un sondage KPMG, plus de 6 PME québécoises sur 10 ont été attaquées dans l'année, et 65 % n'ont pas le personnel qualifié pour gérer ce risque. Pourtant, 77 % des petites entreprises canadiennes se croient trop petites pour être ciblées (Coalition, 2025).

Un audit de cybersécurité sert à combler cet écart entre l'impression et la réalité. Voici comment il se déroule, combien de temps il prend et ce qui fait varier son prix.

Ce qu'un audit de cybersécurité vérifie vraiment

Un audit n'est ni un scan automatique ni un test d'intrusion, même s'il peut en inclure un. C'est une évaluation globale : on regarde vos technologies, mais aussi vos processus et vos habitudes. Pour bien distinguer les trois approches, lisez notre article sur les différences entre audit, pentest et scan de vulnérabilités.

Concrètement, un bon audit de PME couvre au minimum :

• Les identités et les accès : qui est administrateur, l'authentification multifacteur est-elle partout, que deviennent les comptes des employés partis ?
• Le courriel et la collaboration : réglages de Microsoft 365 ou Google Workspace, protection contre l'hameçonnage, partage externe de fichiers.
• Les postes et les serveurs : correctifs, antivirus ou EDR, chiffrement des portables.
• Les sauvegardes : existe-t-il une copie hors ligne, et quelqu'un a-t-il déjà testé une restauration ?
• La préparation aux incidents : qui appelle qui un samedi matin quand un rançongiciel chiffre le serveur ?
• La conformité : mesures attendues par la Loi 25, registre des incidents, responsable de la protection des renseignements personnels.

Le référentiel utilisé compte. Pour une PME, les contrôles de cybersécurité de base du Centre canadien pour la cybersécurité sont un excellent point de départ : 13 domaines, pensés pour les organisations de moins de 500 employés, et gratuits. Des cadres plus lourds comme l'ISO 27001 peuvent venir plus tard.

Les 5 étapes d'un audit de PME

1. Le cadrage

Une rencontre d'environ une heure pour définir la portée : quels sites, quels systèmes, quelles données sensibles. Un manufacturier de la Beauce avec une usine et des automates n'a pas le même périmètre qu'une agence de marketing de Montréal entièrement infonuagique. C'est aussi à cette étape qu'on signe l'autorisation écrite si des tests techniques sont prévus.

2. La collecte d'information

Questionnaire, inventaire des actifs, documents existants (politiques, contrat de l'impartiteur TI). Puis de courtes entrevues avec la direction, la personne responsable des TI et parfois un ou deux employés. C'est souvent là qu'on découvre le mot de passe partagé collé sous un clavier.

3. Les vérifications techniques

Revue des configurations (pare-feu, Microsoft 365, sauvegardes), analyse de vulnérabilités sur les systèmes exposés à Internet, vérification des enregistrements DNS du courriel. Selon l'entente, cette étape peut inclure un test d'intrusion.

4. L'analyse des risques

Chaque constat est évalué selon sa probabilité et son impact pour votre entreprise. Un portable non chiffré est plus grave dans un cabinet comptable de Laval qui transporte des dossiers fiscaux que dans un atelier d'ébénisterie.

5. Le rapport et la présentation

Un sommaire pour la direction, un détail technique pour votre équipe TI ou votre impartiteur et, surtout, un plan d'action priorisé : quoi faire cette semaine, ce trimestre, cette année.

Combien de temps ça prend ?

Voici un calendrier typique pour une PME d'une vingtaine à une cinquantaine d'employés. C'est un exemple : la durée réelle dépend de la portée et de la disponibilité de vos gens.

Ce qui retarde le plus un audit n'est pas technique : c'est l'attente des accès. Si votre impartiteur met dix jours à créer un compte en lecture seule, le calendrier glisse d'autant. Prévenez-le dès la signature.

Combien ça coûte ? Ce qui fait varier le prix

Il n'existe pas de grille publique fiable pour les audits de PME au Canada, parce que la portée varie énormément d'un mandat à l'autre. Méfiez-vous d'un prix fixe annoncé sans aucune question sur votre environnement.

Pour donner un ordre de grandeur sur le volet technique : les fournisseurs canadiens publient des fourchettes très larges pour un test d'intrusion, de quelques milliers à plusieurs dizaines de milliers de dollars selon la portée (par exemple, Packetlabs, août 2026), et un petit test externe se situe dans le bas de l'échelle. Ce sont des repères indicatifs, pas une soumission. Pour nos propres forfaits, consultez la page tarifs.

Mettez ce budget en perspective : selon des données de l'industrie citées par Insurance Business Canada (octobre 2025), un incident d'hameçonnage coûte en moyenne 89 000 $, et un rançongiciel, 330 000 $.

Comment bien vous préparer

Une PME bien préparée obtient un audit plus rapide, moins cher et plus utile. Avant la rencontre de démarrage, rassemblez :

• La liste des employés actifs, et des départs de la dernière année
• La liste de vos logiciels et services infonuagiques, y compris ceux payés par carte de crédit
• Les coordonnées de votre impartiteur TI et votre contrat de service
• Votre police d'assurance cyber et le dernier questionnaire rempli, s'il y a lieu
• Les politiques existantes, même incomplètes (mots de passe, télétravail, sauvegardes)
• Un schéma réseau, même dessiné à la main
• Le nom de la personne responsable de la protection des renseignements personnels

Avertissez aussi votre impartiteur : un audit n'est pas une évaluation de son travail, mais il voudra savoir pourquoi quelqu'un examine ses configurations. Les meilleurs audits se font avec lui, pas contre lui.

Après l'audit : du rapport à l'action

Un rapport qui dort dans un tiroir ne protège personne. Les PME qui tirent le plus de valeur d'un audit font trois choses :

1. Elles appliquent les gains rapides tout de suite. Activer l'authentification multifacteur pour tous, désactiver les comptes d'anciens employés, bloquer le transfert automatique de courriels : souvent quelques heures de travail. Si vous êtes sur Microsoft 365, nos 15 réglages à vérifier dans Microsoft 365 sont un bon point de départ.
2. Elles nomment un responsable par action, avec une date. Pas « l'équipe TI » : une personne.
3. Elles mesurent l'avancement après 90 jours, puis refont un audit l'année suivante pour comparer.

Si la Loi 25 fait partie de vos préoccupations, croisez le plan d'action avec notre checklist cybersécurité Loi 25 : plusieurs corrections servent les deux objectifs.

Notre équipe réalise des audits de cybersécurité adaptés à la réalité des PME québécoises, avec un plan d'action en français clair plutôt qu'un rapport de 200 pages.