Choisir un prestataire de sécurité informatique commence souvent par une question très concrète : quel budget prévoir, et que couvrira réellement sa mission ? Le prix dépend du périmètre, du niveau d’urgence et des livrables attendus, pas seulement du nombre de jours d’intervention.
Pour une PME, un devis de sécurité informatique doit permettre de comparer des prestations équivalentes et de comprendre les décisions à prendre. La démarche devient plus lisible lorsqu’on distingue le cadrage, les interventions techniques et le suivi des recommandations.
A retenir :
- Budget cybersécurité aligné sur les risques et les priorités métier
- Périmètre de mission explicite, mesurable et partagé
- Livrables exploitables par les équipes techniques et la direction
- Recommandations hiérarchisées selon leur urgence et leur faisabilité
Budget d’un prestataire de sécurité informatique et devis
Une fois les priorités clarifiées, le budget se construit autour du travail nécessaire plutôt qu’autour d’un tarif isolé. Une entreprise fictive de vingt salariés, par exemple, ne demande pas la même intervention qu’un groupe multisite.
Facteurs qui déterminent le budget cybersécurité
Dans ce budget, le périmètre constitue le premier facteur : nombre de sites, applications, environnements infonuagiques et systèmes concernés. Selon l’ANSSI, les prestataires qualifiés PASSI interviennent dans des domaines d’audit définis, ce qui rappelle l’importance de préciser les compétences attendues.
La profondeur de l’audit de sécurité influence également la charge : un examen documentaire ne mobilise pas les mêmes moyens que des tests d’intrusion autorisés. Les délais, les contraintes d’accès et la disponibilité des équipes internes pèsent aussi sur la planification.
Facteurs de coût à comparer :
- Nombre et diversité des actifs inclus dans le périmètre
- Entretiens, analyses techniques et vérifications sur site
- Urgence de la mission et contraintes de disponibilité
- Restitution, accompagnement et suivi après l’audit
Un devis utile détaille ces éléments et distingue les options des prestations indispensables. Sans cette précision, deux offres affichant un montant proche peuvent couvrir des travaux très différents.
Comparer les devis de sécurité informatique
Pour comparer les offres, vérifiez d’abord les livrables, les exclusions et les responsabilités de chaque partie. Selon l’ANSSI, le référentiel PASSI encadre les exigences applicables aux prestataires qui souhaitent faire qualifier leurs services d’audit.
Élément du devis
Question à poser
Signal de précision
Périmètre
Quels systèmes sont examinés ?
Actifs et exclusions listés
Méthode
Quelles vérifications sont prévues ?
Étapes et limites expliquées
Livrables
Que recevra l’entreprise ?
Rapport et restitution détaillés
Accompagnement
Qui aide à traiter les écarts ?
Modalités de suivi précisées
Les tarifs ne sont comparables qu’à périmètre égal, et les montants doivent être demandés directement aux prestataires. Le cadrage de mission transforme ensuite cette comparaison en plan de travail vérifiable.
Déroulement d’une mission de sécurité informatique
Après le choix du prestataire, le travail commence par une définition partagée des objectifs et des règles d’intervention. Cette étape évite les surprises lorsqu’un contrôle touche des services utilisés quotidiennement par les salariés.
Cadrage de mission et planification des interventions
Le cadrage de mission précise les systèmes concernés, les interlocuteurs, les contraintes horaires et les conditions d’accès. Selon la CNIL, la sécurité des données personnelles suppose des mesures adaptées aux traitements et aux risques associés.
La planification des interventions répartit ensuite les entretiens, les contrôles et les éventuels tests techniques. Une entreprise peut, par exemple, réserver les vérifications les plus sensibles à une plage où ses équipes peuvent surveiller les services.
Points à fixer avant intervention :
- Personne responsable des autorisations et des accès
- Fenêtres d’intervention compatibles avec l’activité
- Procédure d’alerte en cas d’incident ou d’anomalie
- Canal de partage des documents et résultats
Ces précautions sont particulièrement importantes pour des tests d’intrusion, qui doivent rester autorisés, délimités et coordonnés. Un périmètre mal compris peut interrompre un service sans améliorer la protection.
Audit de sécurité et tests d’intrusion
Dans la phase technique, l’analyse des risques relie les faiblesses observées aux conséquences possibles pour l’activité. Les tests d’intrusion, lorsqu’ils sont inclus, examinent des scénarios convenus et ne remplacent pas une évaluation globale.
Selon le guide d’hygiène informatique de l’ANSSI, la protection repose aussi sur des pratiques régulières, comme la maîtrise des comptes et la mise à jour des systèmes. Le tableau ci-dessous distingue les étapes courantes sans imposer une méthode identique à toutes les organisations.
Étape
Travail réalisé
Résultat attendu
Préparation
Validation des accès et limites
Intervention autorisée et cadrée
Collecte
Entretiens et examen des éléments fournis
Vue du contexte et des actifs
Vérifications
Contrôles adaptés au périmètre convenu
Écarts documentés et contextualisés
Restitution
Présentation des constats et priorités
Décisions compréhensibles par l’équipe
La méthode choisie doit correspondre aux enjeux et aux autorisations accordées. Les résultats prennent ensuite forme dans un rapport de sécurité orienté vers des décisions concrètes.
Rapport de sécurité et suivi des recommandations
Après les vérifications, la valeur de la mission dépend de la façon dont les constats peuvent être compris et traités. Un document technique seul aide peu une direction qui doit arbitrer entre plusieurs chantiers.
Un rapport de sécurité exploitable
Un rapport de sécurité utile distingue les constats, leurs conséquences possibles et les mesures proposées. Il indique aussi les limites de l’évaluation, afin que les lecteurs ne confondent pas un audit ciblé avec une garantie générale d’absence de risque.
La restitution gagne à adapter le niveau de détail à son public : la direction a besoin d’arbitrages, tandis que les équipes techniques ont besoin d’éléments vérifiables. L’ANSSI présente PASSI comme un référentiel d’exigences pour les prestataires d’audit, ce qui souligne l’intérêt de vérifier leur périmètre de compétence.
Contenu à vérifier dans le rapport :
- Constats associés aux actifs concernés
- Priorités et conséquences métier explicitées
- Mesures correctives formulées clairement
- Limites et conditions de l’évaluation indiquées
Suivi des recommandations et arbitrages
Le suivi des recommandations transforme les constats en actions attribuées, planifiées et contrôlées. Une PME peut répartir les correctifs entre son équipe informatique, son hébergeur et son prestataire, puis documenter les décisions reportées.
Pour piloter ce travail, chaque recommandation devrait avoir un responsable, une échéance et un état d’avancement. Cette discipline permet de distinguer une mesure déjà appliquée d’une action encore en attente, sans confondre livraison du rapport et réduction effective des risques.
Le contrat peut prévoir une réunion de restitution ou une vérification ultérieure, mais ces prestations doivent apparaître clairement au devis. Un accompagnement utile laisse à l’entreprise des priorités compréhensibles et un moyen concret de suivre leur traitement.
Source : ANSSI, « Référentiel d’exigences applicable aux prestataires d’audit de la sécurité des systèmes d’information » ; ANSSI, « Guide d’hygiène informatique » ; CNIL, « Guide de la sécurité des données personnelles ».
