Audit de sécurité informatique PME Québec — Prix et processus
Avez-vous des ex-employés qui ont encore accès à vos systèmes? Un routeur qui n'a pas été mis à jour depuis 2022? Des mots de passe partagés entre collègues? Des sauvegardes que personne n'a testées depuis des mois?
Un audit de sécurité informatique répond à ces questions — avant qu'un cyberattaquant ne les trouve à votre place. Voici ce que ça comprend, combien ça coûte, et pourquoi les PME québécoises devraient en faire un.
Qu'est-ce qu'un audit de sécurité informatique?
C'est une évaluation structurée de la sécurité de votre infrastructure TI. Un technicien spécialisé examine systématiquement vos configurations réseau, vos accès, vos sauvegardes et vos pratiques — pour identifier les failles avant qu'elles soient exploitées.
Le résultat : un rapport avec les vulnérabilités trouvées (classées par niveau de risque), les recommandations concrètes, et un plan d'action priorisé.
Ce qu'un audit vérifie
| Domaine | Ce qui est vérifié | Risque si non fait |
|---|---|---|
| Réseau et pare-feu | Ports ouverts, règles pare-feu, firmware à jour | Accès non autorisé |
| Mots de passe et accès | Complexité, 2FA activé, ex-employés actifs | Compromission de comptes |
| Sauvegardes | Fréquence, stockage hors site, tests de restauration | Perte de données irréversible |
| Mises à jour | OS, logiciels, firmware — correctifs de sécurité | Vulnérabilités connues exploitables |
| Accès utilisateurs | Principe du moindre privilège, comptes partagés | Propagation d'une compromission |
| Données personnelles (Loi 25) | Données collectées, consentements, chiffrement | Amendes jusqu'à 25M$ |
Les niveaux d'audit selon vos besoins
Audit de base — 500$ à 800$
Pour les PME qui n'ont jamais fait d'audit. Couvre : réseau, mots de passe, sauvegardes, mises à jour, accès utilisateurs. Durée : 2 à 4 heures. Résultat : rapport avec les 5 à 10 points les plus critiques à corriger.
Audit standard — 800$ à 1 500$
Ajoute : analyse des configurations détaillées, vérification des journaux d'événements, test partiel des sauvegardes, évaluation Loi 25. Durée : 4 à 8 heures. Résultat : rapport complet avec plan d'action priorisé.
Audit complet — 1 500$ à 2 500$
Inclut : tests de vulnérabilité automatisés, simulation d'attaque de phishing interne, évaluation complète de conformité Loi 25, formation de sensibilisation pour les employés. Durée : 1 à 2 jours. Résultat : rapport détaillé + présentation aux dirigeants.
Conformité Loi 25 — ce que l'audit couvre
La Loi 25 sur la protection des renseignements personnels est en vigueur depuis septembre 2023. Un audit de conformité Loi 25 vérifie :
- Quelles données personnelles votre entreprise collecte (clients, employés, prospects)
- Comment ces données sont stockées et protégées (chiffrement, accès restreint)
- Si vous avez les consentements requis
- Si vous avez désigné un responsable de la protection des renseignements personnels
- Si votre procédure de signalement d'incident est documentée
- Si vos contrats avec les sous-traitants (hébergeur, CRM, etc.) incluent les clauses requises
Que faire après l'audit?
Le rapport d'audit classe les vulnérabilités en niveaux de risque. L'approche recommandée :
- Risques critiques : corriger immédiatement (dans les 48 heures). Ex : ex-employé avec accès administrateur actif.
- Risques élevés : corriger dans les 2 semaines. Ex : absence de 2FA sur les comptes critiques.
- Risques modérés : planifier sur 1 à 3 mois. Ex : mises à jour en retard, politique mots de passe à renforcer.
- Risques faibles : intégrer dans la maintenance régulière.
Questions fréquentes
L'audit perturbe-t-il nos opérations?
Non. L'audit se fait en observation — le technicien examine les configurations sans modifier quoi que ce soit. La plupart des vérifications se font à distance ou en accès en lecture seule. Aucune interruption de service.
Peut-on corriger les problèmes soi-même après l'audit?
Oui, pour les corrections simples (activer le 2FA, supprimer un compte inactif). Pour les configurations réseau, la remédiation par un technicien est recommandée pour éviter d'introduire de nouveaux problèmes. Nous offrons un forfait de remédiation post-audit.