Checklist : l'audit IT que toute PME devrait faire une fois par an

Pourquoi un audit annuel ?

L'infrastructure IT d'une PME dérive silencieusement : des comptes d'ex-employés qui traînent, des logiciels qui ne sont plus mis à jour, des sauvegardes qui ont cessé de fonctionner sans que personne s'en aperçoive. Un audit annuel de 2-3 heures suffit à identifier et corriger ces dérives.

Identité et accès

• ☐ Comptes actifs vs employés en poste : chaque compte Microsoft 365 / VPN doit correspondre à un employé actuel
• ☐ Comptes admin : qui a les droits admin ? Est-ce toujours justifié ? Les admins ont-ils un compte dédié séparé de leur compte quotidien ?
• ☐ MFA activé pour tous : vérifiez le rapport d'authentification M365 — qui n'a pas de MFA ?
• ☐ Mots de passe partagés : migrez-les dans un gestionnaire (Bitwarden, 1Password)

Appareils et postes

• ☐ Inventaire des postes : combien de machines, qui les utilise, quel OS et quelle version ?
• ☐ Windows Update : tous les postes doivent être sous Windows 10 22H2 minimum (ou Windows 11). Les postes non patchés depuis 6+ mois sont urgents
• ☐ Chiffrement des disques : BitLocker activé sur tous les portables ?

Licences et abonnements

• ☐ Licences M365 payées vs utilisées : rapport dans le centre d'administration
• ☐ Abonnements SaaS orphelins : listez toutes vos cartes de crédit liées à des abonnements. Annulez ce qui n'est plus utilisé
• ☐ Renouvellements à venir : noms de domaine, certificats SSL, licences annuelles

Sauvegardes

• ☐ Test de restauration : la dernière restauration testée date de quand ? Une sauvegarde non testée est une sauvegarde qui n'existe pas
• ☐ Couverture complète : qu'est-ce qui n'est PAS sauvegardé ? Serveurs physiques, NAS locaux, données M365 ?
• ☐ Hors site : au moins une copie est-elle dans un emplacement géographiquement distinct ?

Sécurité

• ☐ Rapport DMARC : quelqu'un usurpe-t-il votre domaine ?
• ☐ Incidents ignorés : y a-t-il des alertes de sécurité dans Microsoft Defender qui n'ont jamais été traitées ?
• ☐ Accès invités Teams/SharePoint : des externes ont-ils encore accès à des ressources internes après la fin de leur mission ?

Comment utiliser cette checklist

Bloquez 3 heures en début d'année civile. Passez chaque point, notez les écarts, priorisez les corrections par risque. Les items identité/accès et sauvegardes sont toujours prioritaires.