Commencez par une journée normale.
Décrivez ce dont vous avez besoin pour travailler : une messagerie, un logiciel métier, des documents clients, un agenda partagé, un site web. Repérez ensuite ce qui vous empêcherait de continuer si un de ces éléments devenait indisponible.
Cette description donne un premier ordre de priorité. Une liste exhaustive du matériel n’est pas indispensable pour engager la discussion ; elle peut être construite au cours du cadrage.
Rassemblez les bonnes informations.
Les outils et leur rôle.
Notez les applications principales, les équipements concernés et les types d’informations qu’ils contiennent. Précisez les usages à distance et les outils partagés. Dans un premier échange, une description suffit : inutile d’envoyer des fichiers clients.
Les personnes qui les gèrent.
Identifiez votre prestataire informatique, l’éditeur du logiciel métier, la personne qui administre les comptes et celle qui suit les sauvegardes. Cela évite de demander à la mauvaise personne une autorisation ou une correction.
Les changements ou difficultés récents.
Un départ, de nouveaux outils, une évolution du télétravail ou un incident passé peuvent orienter les vérifications. Décrivez les faits connus et les questions encore ouvertes, sans conclure trop vite à une compromission.
Les contraintes de l’activité.
Indiquez les périodes sensibles, les heures d’ouverture, les opérations à éviter et l’interlocuteur à prévenir si un problème apparaît. La disponibilité des services doit être prise en compte dans les méthodes proposées.
Clarifiez ce que vous souhaitez recevoir.
Un inventaire, une revue de configuration, un test d’intrusion et un accompagnement aux corrections ne couvrent pas le même travail. Demandez quels systèmes seront étudiés, quelles méthodes seront utilisées et ce qui ne fait pas partie de la mission.
Le devis doit permettre de comprendre les livrables attendus : synthèse pour la direction, constats techniques, priorités, recommandations ou vérification après correction. Un nombre de vulnérabilités ne suffit pas à expliquer ce qu’il faut faire.
Définissez les autorisations avant les tests.
Le périmètre précise les équipements, applications ou adresses concernés, la période d’intervention et les conditions d’arrêt. Les systèmes d’un client ou d’un fournisseur restent soumis à leurs propres autorisations.
Les mots de passe, clés d’accès et données sensibles ne doivent pas figurer dans votre premier e-mail. Si des accès sont nécessaires, leurs modalités de transmission et de suppression sont définies avec le prestataire.
Prévoyez la suite dès le début.
Qui prendra en charge les corrections ? Comment arbitrerez-vous les priorités ? Souhaitez-vous une vérification après intervention ? Répondre à ces questions rend la restitution plus utile et permet d’estimer les moyens nécessaires.
Un audit donne une observation du périmètre à une date donnée. Il ne remplace pas la maintenance régulière et ne garantit pas qu’aucune vulnérabilité ne subsiste.
UNE RESSOURCE OFFICIELLE UTILE
Pour compléter votre préparation, consultez le guide de l’ANSSI La cybersécurité pour les TPE/PME en treize questions.