Audit informatique

Pourquoi on finit toujours par en avoir besoin

L'informatique d'une entreprise ne se construit presque jamais d'un bloc. Elle s'empile : un serveur acheté en urgence, un logiciel imposé par un client, des postes remplacés un par un, un prestataire qui change, une personne qui part en emportant ce qu'elle savait.

Au bout de quelques années, plus personne n'a la vue d'ensemble. On sait que ça marche, on ne sait plus pourquoi, et surtout on ne sait pas ce qui arriverait si telle machine s’arrêtait. Les décisions se prennent alors au ressenti, souvent dans l’urgence.

Un audit remet un document sur la table. Ce n'est pas un jugement sur ce qui a été fait, c’est une photographie de ce qui existe aujourd’hui et de ce que cela implique demain.

Ce que nous regardons

• Le parc. Combien de postes et de serveurs, leur âge, leur état, leur système, ce qui est encore supporté par l’éditeur et ce qui ne l’est plus. Une machine hors support est un risque daté, pas une opinion.
• Le réseau. Comment c'est câblé, ce qui est administrable, ce qui est accessible depuis l’extérieur, et si les usages sont séparés. C’est là que se trouvent les surprises les plus fréquentes.
• Les sauvegardes. Ce qui est réellement sauvegardé, à quelle fréquence, depuis quand ça n'a pas échoué, et si quelqu’un a déjà restauré avec. Nous testons une restauration plutôt que de lire un journal.
• La sécurité. Les accès, les comptes qui traînent, les mots de passe partagés, l'état des mises à jour, les protections en place et celles qui manquent.
• Les logiciels et les licences. Ce qui est utilisé, ce qui est payé sans être utilisé, et ce qui est utilisé sans être en règle. Les deux arrivent, et le second coûte beaucoup plus cher.
• Les contrats et les dépendances. Qui héberge quoi, qui détient le nom de domaine, qui a les accès administrateur. Une entreprise qui ne contrôle pas son propre nom de domaine l’apprend toujours au plus mauvais moment.

Ce que vous recevez

Un rapport écrit en français, pas une sortie d'outil. Il dit ce qui existe, ce qui fonctionne, ce qui est fragile, et ce qui est un risque immédiat.

Et une liste de corrections classées par ce qu'elles évitent, pas par ce qu'elles rapportent. Certaines ne coûtent rien et se font le jour même : fermer un accès inutile, supprimer un compte d’un salarié parti, activer la double authentification. D’autres demandent un budget et se planifient sur l’année.

Le document est le vôtre. Vous pouvez le faire exécuter par qui vous voulez, y compris par votre prestataire actuel. Un audit qui ne serait valable que si on nous confie la suite ne vaudrait rien.

Les trois moments où un audit sert vraiment

Au changement de prestataire, pour savoir ce qu'on reprend et dans quel état, et pour éviter de découvrir trois mois plus tard qu’une sauvegarde n’existait pas.

Avant un investissement, parce qu'un serveur neuf posé sur un réseau fatigué donne un résultat décevant, et que la vraie cause de la lenteur n’est pas toujours celle qu’on croit.

Après un incident, pour traiter la cause et pas seulement le symptôme. Une panne est souvent le premier signe visible d’un défaut installé depuis longtemps.

Comment ça se passe

Nous venons sur place. Une partie du relevé se fait avec des outils, le reste en regardant et en parlant aux gens qui travaillent avec. Ce que disent les utilisateurs d’un logiciel lent vaut souvent mieux qu’une mesure.

Il faut en général une à deux journées selon la taille, puis la rédaction. Nous vous présentons le rapport de vive voix, parce qu’un document remis sans explication finit dans un tiroir.

Et si une anomalie grave apparaît pendant le relevé, nous vous le disons tout de suite, sans attendre la remise du rapport. Dans ce cas nous intervenons en moins de 24 heures ouvrées.