Audit de cybersécurité pour une PME en Belgique : web, pentest et infrastructure

01

Commencer par l’activité et les services à protéger

Votre objectif peut être de vérifier un portail avant lancement, préparer une reprise, examiner une alerte ou améliorer la continuité de votre activité. Ces situations n’appellent pas nécessairement la même mission. Nommez les services importants, les personnes qui les utilisent et les conséquences d’une indisponibilité ou d’un accès indu.

Le cadre NIST CSF aide les organisations à structurer la gestion de leur risque cyber. Pour préparer une consultation, traduisez votre besoin en décisions concrètes : quels actifs examiner, qui peut autoriser les vérifications et comment seront suivies les corrections. Une liste d’outils ne remplace pas ces décisions.

02

Scan, audit, pentest ou revue d’infrastructure : quelle différence ?

Le terme « audit de cybersécurité » peut couvrir des travaux très différents. Demandez au prestataire de décrire ce qu’il examine, les accès nécessaires et les preuves qu’il produira. La comparaison suivante est une grille de préparation proposée par Gaspa, et non une équivalence entre prestations.

Un test d’intrusion peut approfondir des chemins d’attaque dans un périmètre autorisé. Une revue de configuration ou une analyse de code répond à d’autres questions. Ces approches peuvent être complémentaires lorsque l’objectif, le temps et les responsabilités sont définis.

03

Audit de sécurité web : examiner les parcours et les règles métier

Pour une application web, décrivez les profils et les opérations sensibles : accès à un dossier, modification de coordonnées, téléchargement de fichiers ou actions d’administration. La visibilité d’une interface ne suffit pas à décrire les droits réellement nécessaires.

OWASP ASVS propose des exigences de vérification de sécurité applicative. OWASP Top 10 2025 est un document de sensibilisation aux grandes catégories de risques. L’un peut aider à définir des contrôles ; l’autre aide à structurer une compréhension générale. Citer ces références ne signifie pas qu’un produit est certifié ni qu’un audit exhaustif a été réalisé.

04

Infrastructure et comptes : dépasser le seul site public

Une application dépend aussi de l’hébergement, de la gestion des identités, de services cloud et de fournisseurs. Un périmètre limité à la page publique ne répond pas forcément à la question de savoir qui peut administrer l’environnement ou restaurer un service.

Préparez l’inventaire des environnements, des comptes d’administration et des dépendances essentielles. Pour chaque élément, précisez le propriétaire et la preuve accessible : configuration, procédure, résultat d’un exercice ou compte rendu de changement. N’envoyez pas de mots de passe ou d’exports sensibles dans une demande initiale.

Une revue d’infrastructure peut examiner les accès, la segmentation prévue, les services exposés, le suivi des correctifs et les modalités de reprise. Son contenu doit être adapté aux systèmes réellement utilisés et aux autorisations de leurs propriétaires.

05

Encadrer le pentest avant toute intervention

Les tests doivent être autorisés et cadrés par écrit avec les propriétaires des systèmes. Identifiez les cibles, comptes, environnements, plages d’intervention, actions admises et conditions d’arrêt. Les services de tiers doivent être traités selon les accords qui les concernent.

Définissez les interlocuteurs en cas de problème, les conditions de traitement des données et la restitution des éléments collectés. Convenez du niveau d’intervention compatible avec votre activité. Le périmètre doit éviter qu’un intitulé général soit interprété comme l’autorisation de tester tous les services d’une entreprise.

Cette préparation fait partie du travail à chiffrer. Elle permet aussi de déterminer les accès qui rendront les vérifications pertinentes et de distinguer ce qui sera testé de ce qui restera hors mission.

06

Rapport d’audit et corrections : les livrables à demander

Un rapport utile relie les constats à des éléments vérifiés et à l’impact possible sur votre activité. Il explique les limites, distingue les hypothèses des observations et donne des pistes de traitement. Les annexes sensibles doivent être partagées par un canal approprié.

Demandez une liste de corrections priorisées avec des responsables et des dépendances. Une fois les actions réalisées, la contre-vérification doit préciser ce qui a été contrôlé, le résultat et les points non résolus. Une correction annoncée dans un ticket ne vaut pas automatiquement vérification de son effet.

07

Budget et accompagnement cyber : comparer le même périmètre

Le budget dépend des cibles, des rôles utilisateurs, des environnements, des accès fournis, de la profondeur des vérifications et des livrables. Séparez la préparation, l’évaluation, la restitution, les corrections et leur contre-vérification. Nous ne présentons pas ici de prix moyen belge ou de tarif forfaitaire universel.

L’accompagnement peut organiser les actions après l’audit : arbitrages, coordination avec l’hébergeur, suivi des corrections et préparation de nouvelles vérifications. Le rythme, les disponibilités et les responsabilités doivent être prévus. Un audit ponctuel ne crée pas à lui seul une surveillance permanente.

08

Préparer un audit cybersécurité avec Gaspa en Belgique

Pour cadrer la mission, commencez par votre objectif et les environnements concernés. Gaspa examine les besoins web, les demandes de pentest, la revue d’infrastructure et l’accompagnement à organiser. La proposition précise les intervenants mobilisés, le périmètre, les méthodes et les livrables convenus.

L’audit UX et technique présenté ailleurs sur le site répond à un autre périmètre ; il ne comprend pas un pentest par défaut. Une demande cyber doit donc être formulée explicitement. Ne transmettez pas de secrets ni de documents sensibles avant qu’un cadre d’échange adapté soit convenu.