Auto-audit gratuit

Votre entreprise pourrait-elle encore fonctionner demain matin ?

93 questions réparties en 15 domaines, pour détecter non seulement les failles techniques mais les faiblesses d’organisation qui empêchent une entreprise de fonctionner : une sauvegarde que personne n’a jamais restaurée, un changement d’IBAN validé par e-mail, un prestataire seul détenteur des mots de passe d’administration.

Rien à installer, aucune inscription, aucune collecte. Vos réponses restent dans votre navigateur ; le calcul s’y fait aussi.

  1. Répondez honnêtement — « je ne sais pas » est une réponse légitime, et la plus instructive.
  2. Lisez les indicateurs d’alerte — une phrase par domaine ; si elle vous décrit, le domaine est un risque quel que soit le score.
  3. Gardez le rapport — copiez-le, imprimez-le, ou faites-le relire : c’est le point de départ d’un véritable audit.

Postes, serveurs et mises à jour

Risque : Intrusion par une faille connue et déjà corrigée ailleurs.

  1. 1L’entreprise connaît-elle la liste de ses postes, serveurs et téléphones professionnels ?

  2. 2Les systèmes installés reçoivent-ils encore des correctifs de sécurité de leur éditeur ?

  3. 3Les correctifs de sécurité sont-ils appliqués dans le mois qui suit leur publication ?

  4. 4Une protection contre les logiciels malveillants est-elle réellement active sur les postes et les serveurs ?

  5. 5Les disques des ordinateurs portables sont-ils chiffrés ?

  6. 6Un poste perdu ou volé peut-il être bloqué ou effacé à distance ?

Indicateur d’alerte — Un serveur de fichiers tourne encore sous un système qui ne reçoit plus de correctifs, parce que « l’application métier ne passe pas la version suivante ».

Comptes, mots de passe et authentification

Risque : Un seul mot de passe suffit à entrer, et personne ne sait qui est entré.

  1. 7Chaque personne dispose-t-elle de son propre compte nominatif, sans compte partagé ?

  2. 8L’authentification multifacteur est-elle active sur la messagerie et les accès distants ?

  3. 9Les mots de passe sont-ils conservés dans un gestionnaire dédié, et non dans un fichier ou un carnet ?

  4. 10Les mots de passe sont-ils différents d’un service à l’autre ?

  5. 11Les comptes des personnes parties sont-ils désactivés le jour de leur départ ?

  6. 12La liste des comptes existants est-elle revue au moins une fois par an ?

Indicateur d’alerte — Un compte « comptabilité » ou « direction » est partagé par plusieurs personnes : aucune action ne peut plus être attribuée à quelqu’un.

Sauvegardes et restauration

Risque : Des sauvegardes existent, mais personne n’a vérifié qu’elles se restaurent.

  1. 13Les données importantes sont-elles sauvegardées automatiquement, sans geste quotidien de quelqu’un ?

  2. 14Existe-t-il une copie hors ligne ou immuable, inaccessible depuis le réseau ?

  3. 15Une copie est-elle conservée en dehors des locaux de l’entreprise ?

  4. 16Une restauration a-t-elle été réellement effectuée au cours des douze derniers mois ?

  5. 17Sait-on combien de temps prend une restauration complète ?

  6. 18Les services en ligne (messagerie, cloud, logiciel de gestion) sont-ils sauvegardés ailleurs que chez leur fournisseur ?

Indicateur d’alerte — La sauvegarde est sur un disque branché en permanence au serveur : un rançongiciel la chiffre en même temps que les données.

Équipes, usages et signalement

Risque : La personne qui reçoit le message piégé ne sait ni le reconnaître, ni à qui le dire.

  1. 19Les équipes ont-elles été sensibilisées au hameçonnage au cours des douze derniers mois ?

  2. 20Savent-elles à qui signaler un message ou un comportement suspect ?

  3. 21Une personne qui signale sa propre erreur est-elle traitée sans reproche ?

  4. 22Les règles d’usage (matériel personnel, clés USB, partage de fichiers) sont-elles écrites ?

  5. 23L’arrivée d’un nouveau salarié comprend-elle une remise d’accès formalisée ?

  6. 24L’usage professionnel des téléphones personnels est-il encadré ?

Indicateur d’alerte — Un salarié qui a cliqué sur un lien douteux préfère se taire, parce qu’il craint d’être tenu responsable.

Données personnelles et obligations

Risque : Une obligation qui n’est découverte que le jour de l’incident.

  1. 25L’entreprise sait-elle quelles données personnelles elle traite, et pour quelles finalités ?

  2. 26Un registre des traitements est-il tenu à jour ?

  3. 27Les prestataires qui traitent des données pour vous sont-ils identifiés et encadrés par un contrat ?

  4. 28Les durées de conservation sont-elles définies et réellement appliquées ?

  5. 29Sauriez-vous notifier une violation de données à l’autorité compétente dans le délai applicable ?

  6. 30Une demande d’accès ou de suppression peut-elle être traitée sans mobiliser toute l’entreprise ?

Indicateur d’alerte — Personne ne sait dans quel délai, ni à quelle autorité, une violation de données doit être signalée dans le pays où l’entreprise est établie.

Sécurité des e-mails et fraude au paiement

Risque : Détournement de paiement, usurpation d’identité, compromission de comptes.

  1. 31SPF, DKIM et DMARC sont-ils configurés sur le domaine de l’entreprise ?

  2. 32Les pièces jointes et les liens suspects sont-ils filtrés avant d’arriver dans les boîtes ?

  3. 33Un changement d’IBAN ou de coordonnées bancaires exige-t-il une vérification par un canal indépendant ?

  4. 34Les connexions inhabituelles et les règles de transfert automatique vers l’extérieur sont-elles surveillées ?

  5. 35Les moyens de récupération des comptes d’administration (téléphone, adresse de secours) sont-ils protégés ?

  6. 36Les informations confidentielles circulent-elles uniquement par des outils maîtrisés par l’entreprise ?

Indicateur d’alerte — Un changement d’IBAN peut être validé sur la seule base d’un e-mail, sans vérification téléphonique indépendante.

Réseau et accès distants

Risque : Intrusion dans le système d’information, puis propagation sans obstacle.

  1. 37Les box, routeurs, commutateurs et bornes Wi-Fi sont-ils inventoriés et maintenus à jour ?

  2. 38Sait-on quels services de l’entreprise sont accessibles depuis Internet ?

  3. 39Les interfaces d’administration et les bureaux distants sont-ils fermés à l’Internet ouvert ?

  4. 40Les connexions distantes passent-elles par un accès sécurisé, limité aux personnes autorisées ?

  5. 41Le Wi-Fi invité est-il séparé du réseau interne ?

  6. 42Les prestataires disposent-ils d’accès individuels, limités dans le temps et révocables ?

Indicateur d’alerte — Un prestataire dispose d’un accès permanent à l’ensemble du réseau, sans contrôle ni traçabilité.

Privilèges et comptes d’administration

Risque : Prise de contrôle complète du système d’information.

  1. 43Les administrateurs utilisent-ils un compte dédié aux opérations sensibles, distinct de leur compte courant ?

  2. 44Chaque personne dispose-t-elle uniquement des droits nécessaires à ses missions ?

  3. 45La liste des comptes à privilèges est-elle connue et vérifiée régulièrement ?

  4. 46Les comptes techniques (applications, scripts, automatisations) ont-ils des droits limités ?

  5. 47Les mots de passe techniques, clés SSH et jetons d’API sont-ils rangés dans un coffre, et non dans un fichier partagé ou un dépôt de code ?

  6. 48Une opération d’administration sensible peut-elle être attribuée à une personne précise ?

Indicateur d’alerte — Tous les salariés possèdent les droits d’administration sur leur poste, sans justification.

Continuité d’activité et reprise

Risque : Impossibilité de travailler pendant plusieurs heures, jours ou semaines.

  1. 49Les applications indispensables au fonctionnement de l’entreprise sont-elles identifiées ?

  2. 50Sait-on ce qui se passe si Internet, la téléphonie, le serveur principal ou le logiciel de gestion s’arrête ?

  3. 51Existe-t-il une procédure écrite pour poursuivre les opérations essentielles en mode dégradé ?

  4. 52Les étapes de remise en service des systèmes sont-elles documentées ?

  5. 53La durée d’indisponibilité acceptable et la perte de données acceptable sont-elles chiffrées ?

  6. 54Un scénario de panne majeure a-t-il déjà été joué, au moins sur table ?

Indicateur d’alerte — L’entreprise a des sauvegardes, mais personne ne sait dans quel ordre remonter les systèmes ni combien de temps cela prendra.

Supervision, détection et journalisation

Risque : Une intrusion reste invisible jusqu’à ce que les dégâts deviennent visibles.

  1. 55Êtes-vous alerté quand un serveur ou un service devient indisponible ?

  2. 56Les connexions inhabituelles et les tentatives répétées d’authentification sont-elles détectées ?

  3. 57Les journaux importants sont-ils centralisés en un seul endroit ?

  4. 58Sont-ils conservés assez longtemps pour reconstituer un incident ?

  5. 59Une personne est-elle responsable de l’analyse et du traitement des alertes ?

  6. 60Les variations inhabituelles (trafic, modifications sensibles, échecs répétés) sont-elles visibles ?

Indicateur d’alerte — L’entreprise possède des outils de sécurité, mais personne ne lit les alertes qu’ils produisent.

Maîtrise des prestataires et des dépendances

Risque : Dépendance à un prestataire unique, perte d’accès, impossibilité de récupérer ses données.

  1. 61Les comptes d’administration du nom de domaine, de l’hébergement et de la messagerie appartiennent-ils à l’entreprise ?

  2. 62Pouvez-vous révoquer les accès d’un prestataire sans dépendre de lui ?

  3. 63Les configurations essentielles sont-elles documentées et accessibles en interne ?

  4. 64Pourriez-vous récupérer vos données et migrer vers un autre fournisseur ?

  5. 65Les obligations de sécurité, de sauvegarde, de disponibilité et d’assistance figurent-elles dans les contrats ?

  6. 66Pourriez-vous récupérer les accès essentiels si votre prestataire disparaissait demain ?

Indicateur d’alerte — Le prestataire informatique est le seul à connaître les mots de passe d’administration, et le nom de domaine est enregistré à son nom.

Coûts et patrimoine informatique

Risque : Dépenses inutiles, renouvellements subis, investissements mal orientés.

  1. 67La liste des logiciels et abonnements payés par l’entreprise est-elle connue ?

  2. 68Des licences sont-elles encore facturées pour des personnes parties ou des outils abandonnés ?

  3. 69Les dépenses d’hébergement, de stockage et de calcul sont-elles suivies ?

  4. 70Les échéances contractuelles et les renouvellements automatiques sont-ils recensés ?

  5. 71Évitez-vous de payer plusieurs outils qui remplissent la même fonction ?

  6. 72Le renouvellement du matériel est-il planifié, plutôt que subi en urgence ?

Indicateur d’alerte — Le dirigeant ne connaît ni le montant total de ses dépenses informatiques, ni la liste des outils auxquels elles correspondent.

Données, partages et cloud

Risque : Fuite de données, perte de contrôle, exposition involontaire d’informations confidentielles.

  1. 73Savez-vous où sont stockés les fichiers clients, les documents RH, les contrats et les données financières ?

  2. 74Les liens de partage externes sont-ils limités aux personnes concernées, et dans le temps ?

  3. 75Les espaces de stockage sont-ils rattachés à des comptes professionnels contrôlés par l’entreprise ?

  4. 76Les dossiers sensibles sont-ils séparés des espaces accessibles à tous les collaborateurs ?

  5. 77Les données sensibles sont-elles chiffrées en transit et au repos ?

  6. 78Les documents indispensables restent-ils accessibles si un fournisseur cloud devient indisponible ?

Indicateur d’alerte — Un lien de partage « accessible à toute personne disposant du lien » donne encore accès à un dossier client ouvert il y a deux ans.

Usage et gouvernance de l’intelligence artificielle

Risque : Divulgation d’informations confidentielles, décisions erronées, automatisations incontrôlées.

  1. 79Les outils d’IA utilisés par les équipes sont-ils identifiés ?

  2. 80Une règle écrite dit-elle ce qui ne doit jamais être confié à un assistant IA ?

  3. 81Les outils d’IA sont-ils utilisés avec des comptes professionnels maîtrisés par l’entreprise ?

  4. 82Les conditions de traitement et de conservation des données des fournisseurs ont-elles été vérifiées ?

  5. 83Les agents IA disposent-ils uniquement des droits nécessaires à leur fonction ?

  6. 84Les actions sensibles — paiement, suppression de données, envoi externe — passent-elles par une validation humaine ?

  7. 85Les actions et décisions importantes des agents sont-elles journalisées ?

  8. 86Existe-t-il un moyen d’arrêter une automatisation qui se comporte anormalement ?

Indicateur d’alerte — Un agent IA peut modifier des données métier ou écrire à des clients sans limite de droits ni contrôle adapté.

Gestion des incidents et capacité de réaction

Risque : Une attaque devient une crise faute de savoir quoi faire.

  1. 87Les équipes savent-elles qui contacter lorsqu’elles détectent une activité suspecte ?

  2. 88Sait-on qui décide des mesures d’urgence, y compris la nuit et le week-end ?

  3. 89Les personnes compétentes savent-elles isoler un poste compromis sans aggraver la situation ?

  4. 90Les journaux et éléments utiles à l’investigation peuvent-ils être préservés ?

  5. 91Les coordonnées des prestataires, de l’assureur et des autorités sont-elles disponibles hors du système informatique ?

  6. 92Les obligations de notification applicables à votre pays et à votre activité sont-elles identifiées ?

  7. 93Une procédure permet-elle de vérifier la sécurité des systèmes avant leur remise en service ?

Indicateur d’alerte — En cas de rançongiciel, personne ne sait s’il faut couper le réseau, appeler le prestataire ou prévenir l’assureur.

Votre résultat

—%

Répondez aux questions ci-dessus pour voir votre résultat.

0 / 93 réponses · 0 angles morts

Faire relire mon résultat, gratuitement

Vos réponses restent dans ce navigateur. Rien n’est envoyé, sauf si vous collez vous-même votre rapport dans le formulaire de contact.

Score par domaine

Questions fréquentes

Cet auto-audit est-il gratuit, et faut-il s’inscrire ?

Il est gratuit et ne demande rien : ni inscription, ni adresse e-mail, ni compte. Les questions sont du HTML, le calcul se fait dans votre navigateur, et vos réponses ne sont enregistrées que dans ce navigateur. Rien ne parvient à Trustiatis, sauf si vous choisissez de coller votre rapport dans le formulaire de contact.

Combien de temps faut-il ?

Comptez quinze à vingt-cinq minutes pour les 93 questions réparties en 15 domaines. Vous pouvez vous arrêter en cours de route : les réponses sont conservées localement, et vous reprenez plus tard sur le même navigateur.

Un bon score prouve-t-il que nous sommes conformes ?

Non. C’est une auto-évaluation déclarative, pas un audit : elle indique où regarder, pas ce qui est vrai. La conformité au RGPD, à NIS2 ou à tout autre cadre s’établit sur pièces — configurations, journaux, contrats, tests de restauration — qu’un questionnaire ne peut pas examiner.

Pourquoi « je ne sais pas » compte-t-il pour zéro ?

Parce qu’un point de contrôle dont personne ne connaît l’état n’est pas tenu. En pratique, le nombre de « je ne sais pas » est le chiffre le plus utile de tout le résultat : il mesure la part de votre propre système que personne ne regarde.

Que se passe-t-il si nous demandons une relecture à Trustiatis ?

Vous collez votre rapport dans le formulaire de contact et nous vous en renvoyons une lecture : ce qui est urgent, ce qui peut attendre, ce que nous irions vérifier sur pièces. Cette relecture est gratuite et n’engage à rien.

À lire aussi

Faire relire votre résultat

Collez votre rapport dans le formulaire : nous vous renvoyons une lecture — ce qui est urgent, ce qui peut attendre, ce que nous irions vérifier sur pièces. Gratuit, sans engagement.

Envoyer mon rapportVoir notre méthode