Reprendre un parc que l'on n'a pas construit demande une méthode. Voici la checklist que nous déroulons pendant les trente premiers jours d'un contrat, regroupée par thème, avec les anomalies que nous rencontrons le plus souvent.
1. Inventaire matériel
- Liste des postes : modèle, âge, processeur, RAM, type de disque, système et version.
- Postes non compatibles Windows 11 et postes hors garantie.
- Serveurs physiques et virtuels : rôle, criticité, état des disques et de l'onduleur.
- NAS : modèle, configuration RAID, état des disques, firmware.
- Équipements réseau : box, routeur, pare-feu, switchs, bornes Wi-Fi, âge et support éditeur.
- Imprimantes et multifonctions, mode de connexion, comptes de numérisation.
Anomalie fréquente : un disque en panne dans une grappe RAID depuis des mois, sans alerte configurée.
2. Comptes et identités
- Comptes administrateurs globaux : combien, à qui, MFA activé ?
- Comptes d'anciens salariés encore actifs ou encore licenciés.
- Comptes de service et mots de passe partagés.
- Politique de mot de passe et coffre-fort utilisé.
- Boîtes partagées et délégations en place.
Anomalie fréquente : un compte administrateur générique connu de plusieurs personnes, sans MFA.
3. Sauvegardes
- Que sauvegarde-t-on exactement : postes, serveurs, NAS, Microsoft 365 ?
- Fréquence, rétention, localisation des copies, chiffrement.
- Existe-t-il une copie hors site et une copie immuable ?
- Date du dernier test de restauration documenté.
- Alertes en cas d'échec : qui les reçoit réellement ?
Anomalie fréquente : les sauvegardes tournent, mais les alertes d'échec partaient vers l'adresse d'un salarié parti.
4. Sécurité
- Antivirus / EDR : couverture réelle du parc, console administrée, alertes traitées.
- Pare-feu : règles entrantes ouvertes, RDP exposé, firmware à jour, licences actives.
- Accès distant : VPN, comptes, MFA.
- Mises à jour système et applicatives : quel outil, quelle couverture ?
- Postes chiffrés (BitLocker / FileVault) et clés de récupération conservées.
- Filtrage de la messagerie, SPF, DKIM et DMARC du domaine.
Anomalie fréquente : un port RDP ouvert sur Internet « pour dépanner », et un enregistrement DMARC absent.
5. Réseau et téléphonie
- Plan d'adressage, VLAN, DHCP, DNS internes.
- Couverture Wi-Fi et séparation du réseau invité.
- Contrats opérateur : débit, engagement, GTR, coordonnées de support.
- Téléphonie et interactions avec le réseau de données.
6. Licences et abonnements
- Microsoft 365 : plans, nombre de licences attribuées vs facturées, mode d'achat.
- Licences serveurs, antivirus, logiciels métiers, dates d'échéance.
- Nom de domaine : registrar, propriétaire, date d'expiration, renouvellement automatique.
Anomalie fréquente : des licences payées pour des utilisateurs sortis depuis plusieurs mois.
7. Applications métiers
- Liste des logiciels critiques, éditeurs, contrats de support et contacts.
- Version installée et compatibilité avec les systèmes en place.
- Dépendances : clé matérielle, poste dédié, base de données locale.
8. Documentation et continuité
- Schéma réseau et dossier d'exploitation à jour.
- Procédure de restauration écrite et testée.
- Objectifs de reprise (RTO / RPO) définis avec la direction.
- Liste des contacts d'astreinte et procédure d'escalade.
Le livrable : un plan de remédiation priorisé
L'audit ne vaut que par ce qui en sort. Nous classons les constats en trois niveaux : ce qui doit être corrigé sous 48 heures (exposition directe, sauvegarde défaillante, compte admin sans MFA), ce qui se traite dans le trimestre (renouvellement matériel, refonte Wi-Fi, durcissement), et ce qui relève du budget de l'année suivante. Chaque ligne porte un coût estimé, pour que la direction arbitre sur des chiffres.
Cet audit est réalisé en début de contrat d'infogérance, ou séparément avant un changement de prestataire — voir aussi changer de prestataire sans interruption et le guide maintenance TPE/PME. Contact : 01 88 61 55 55.