Faire décider quelqu’un qui a dix minutes
Au sommaire, 6 sections
Pourquoi cette séance existe
Vous avez relevé des faiblesses la fois précédente. Elles ne serviront à rien tant qu’elles resteront dans vos notes.
Un audit ne vaut que par la décision qu’il déclenche, et ce n’est pas le constat qui déclenche la décision : c’est la manière dont il est présenté à quelqu’un qui n’a ni le temps ni la compétence technique de le trier lui-même.
C’est une compétence de niveau 7, et elle dépasse largement la sécurité informatique. Vous produirez toute votre carrière des documents destinés à faire décider quelqu’un d’autre. La sécurité est un bon terrain d’entraînement parce que les constats y sont vérifiables et les conséquences chiffrables.
Ce que vous saurez à la fin de cette séance
- Conduire un audit avec une méthode reproductible, et déclarer ses limites
- Classer un constat sur deux axes, gravité et effort, et en déduire une priorisation défendable
- Écrire un rapport qu’un dirigeant lit en entier et qui se termine par une décision
- Reconnaître ce qu’un rapport d’audit ne doit jamais contenir
1. Ce qu’un audit est, et ce qu’il n’est pas
1.1 Trois propriétés non négociables
Un audit se distingue d’une opinion par trois caractéristiques. Si l’une manque, vous avez produit un avis, ce qui n’a pas la même valeur devant une direction.
Un périmètre déclaré. Ce qui a été examiné, et ce qui ne l’a pas été. Un audit qui ne dit pas ce qu’il n’a pas regardé laisse croire qu’il a tout regardé, ce qui vous expose personnellement.
Une méthode reproductible. Quelqu’un d’autre, avec la même grille, doit aboutir aux mêmes constats. C’est ce qui distingue un audit d’une impression.
Des preuves. Chaque constat s’appuie sur un élément vérifiable : une version affichée, une date, une capture, un compte listé. Un constat sans preuve se conteste en réunion, et il se conteste toujours.
1.2 Ce qu’il n’est pas
Ce n’est pas un test d’intrusion. Vous constatez un état, vous n’attaquez pas. Tester une faille sur un système sans autorisation écrite est une infraction, y compris sur le site de votre propre employeur si vous n’y êtes pas habilité. La règle professionnelle est simple : on n’exploite jamais, on constate.
Ce n’est pas une garantie. Un audit décrit une situation à un instant donné. Le lendemain, une extension publie une faille et le constat est périmé. Un rapport qui laisse croire à une sécurité acquise est un rapport dangereux.
Ce n’est pas une liste exhaustive. C’est le point le plus contre-intuitif et il fait l’objet de la section 3.
Le piège. Un rapport d’audit écrit est une pièce. S’il signale un risque et que rien n’est fait, il démontre que l’entreprise savait. C’est un argument de responsabilité en cas d’incident. Cela ne doit pas vous conduire à ne rien écrire, ce qui serait pire : cela doit vous conduire à écrire des recommandations que l’on peut réellement suivre, et à faire tracer la décision de ne pas les suivre quand c’est le choix de la direction.
2. La grille en huit points
Voici la grille que vous utiliserez. Elle est courte volontairement : une grille de quarante points n’est jamais remplie deux fois.
| # | Point contrôlé | Ce qu’on relève | Preuve |
|---|---|---|---|
| 1 | Versions | cœur, PHP, extensions, thème | numéros affichés |
| 2 | Mises à jour en attente | nombre, ancienneté de la plus vieille | liste |
| 3 | Extensions abandonnées | dernière mise à jour éditeur au-delà d’un an | date |
| 4 | Comptes | nombre, rôles, comptes non identifiés | liste des rôles |
| 5 | Authentification | double facteur, limitation des tentatives | actif ou non |
| 6 | Sauvegardes | contenu, emplacement, dernière restauration testée | date |
| 7 | Chiffrement | certificat valide, toutes les adresses en HTTPS | date d’expiration |
| 8 | Gouvernance | qui est responsable, nommément | fonction |
Deux remarques sur la grille elle-même.
Le point 7 est le seul purement technique, et il se vérifie en dix secondes. Il est pourtant régulièrement en défaut, en général parce que le certificat couvre le domaine principal et pas une variante, ou parce que du contenu ancien pointe encore vers des adresses non chiffrées.
Le point 8 n’est pas technique du tout, et c’est le plus déterminant. Un site parfaitement à jour sans responsable désigné redeviendra vulnérable dans six mois. Un site imparfait avec un responsable identifié s’améliore.
Atelier 1, l’audit complet
En binôme, avec vos relevés de la séance précédente.
Complétez la grille des huit points sur votre site. Pour chaque ligne : le constat, la preuve, et une gravité que vous justifierez.
Utilisez trois niveaux de gravité seulement, définis ainsi :
| Niveau | Définition |
|---|---|
| Critique | exploitable maintenant, sans authentification, ou perte de données possible |
| Important | exploitable sous condition, ou aggrave fortement un incident |
| À surveiller | ne présente pas de risque immédiat mais se dégradera |
La consigne difficile : ne classez pas tout en critique. Un rapport dont tout est critique ne hiérarchise rien, et son lecteur en conclut que l’auteur ne sait pas juger. Deux constats critiques au maximum.
3. Le rapport : écrire pour faire décider
3.1 Le problème du lecteur
Votre lecteur est un dirigeant ou un responsable. Il dispose de dix minutes, il n’a pas votre vocabulaire, et il doit arbitrer entre votre demande et quinze autres.
Trois conséquences d’écriture, et elles vont à l’encontre de ce que l’on fait spontanément.
La conclusion se met au début. Pas au terme d’une démonstration. Votre lecteur doit connaître votre recommandation à la première phrase et lire ensuite pour comprendre pourquoi, s’il en a le temps.
Le nombre de constats est limité. Cinq au maximum dans la synthèse. Le reste va en annexe, ce qui ne veut pas dire qu’il disparaît : cela veut dire que le lecteur pressé n’a pas à le trier.
Chaque constat porte sa conséquence en langage d’entreprise. « L’extension de formulaire n’est plus maintenue » ne dit rien à un dirigeant. « Le formulaire de contact peut être détourné pour envoyer du courrier indésirable en notre nom, ce qui ferait bloquer notre domaine par les messageries et couperait nos échanges commerciaux » se comprend et se décide.
3.2 La structure en cinq blocs
- La recommandation, en trois phrases : ce qu’il faut décider, pour quel budget ou quel effort, et pour quelle échéance.
- Le périmètre, en deux lignes : ce qui a été examiné, à quelle date, et ce qui ne l’a pas été.
- Les constats, cinq au maximum, chacun en trois éléments : le fait avec sa preuve, la conséquence en langage d’entreprise, l’action et son effort.
- Ce qui va bien. Bloc systématiquement oublié et pourtant nécessaire : il évite l’effet catastrophe qui pousse à tout rejeter, et il protège ce qui fonctionne déjà d’être défait lors des corrections.
- La décision attendue, formulée pour qu’on puisse répondre oui ou non. « Validez-vous l’engagement de deux jours pour traiter les deux constats critiques avant la fin du mois ? »
3.3 La priorisation sur deux axes
Un constat se situe sur deux axes : sa gravité et l’effort de correction. Le croisement produit quatre cas, et chacun appelle une conduite différente.
| Effort faible | Effort élevé | |
|---|---|---|
| Gravité forte | à faire maintenant, sans réunion | à arbitrer, avec un budget et une échéance |
| Gravité faible | à faire quand on y passe | à documenter, et à ne pas faire |
Le dernier cas est celui qui distingue un rapport professionnel d’une liste de recommandations : certaines choses ne se font pas, et cela s’écrit. Un risque accepté et documenté est une décision de gestion. Un risque ignoré est une négligence. La différence tient à une ligne écrite.
3.4 Ce qu’un rapport ne contient jamais
Aucun mot de passe, aucune clé, aucune adresse d’administration non publique. Un rapport circule, il est transféré par courriel, il finit dans une pièce jointe oubliée. Il ne doit contenir aucun élément exploitable.
Aucune mise en cause nominative. « Le prestataire a bâclé son travail » n’est ni vérifiable ni utile, et cela transforme une conversation technique en conflit. Le constat se formule sur la situation : « aucune mise à jour n’a été appliquée depuis dix-huit mois, et le contrat de maintenance ne précise pas qui doit les appliquer ».
Aucune exagération. Elle est tentante parce qu’elle fait agir, une fois. La deuxième fois, votre lecteur pondère spontanément ce que vous écrivez, et vos alertes réelles perdent leur effet. Votre crédibilité est votre seul outil.
À retenir. Un rapport d’audit se juge à une chose : est-il suivi d’une décision ? La conclusion en premier, cinq constats au maximum, la conséquence traduite en langage d’entreprise, une section sur ce qui va bien, et une question fermée à la fin. Ce qu’on décide de ne pas corriger s’écrit aussi : c’est ce qui sépare le risque accepté de la négligence.
Atelier 2, la synthèse d’une page
Individuellement. Rédigez la première page du rapport correspondant à l’audit de l’atelier 1. Une page, pas deux.
Elle contient les cinq blocs de la section 3.2, dans cet ordre.
Trois contraintes de forme :
- Aucun terme technique non expliqué dans la même phrase.
- Aucun constat sans conséquence exprimée en langage d’entreprise.
- La dernière phrase est une question fermée.
Critères d’évaluation, annoncés avant le travail : cette production est une note d’établissement, il n’existe aucun barème de certificateur sur ce module. Quatre critères, de poids égal : la recommandation est-elle décidable telle quelle, les constats sont-ils appuyés sur une preuve, les conséquences sont-elles formulées en langage d’entreprise, et la priorisation est-elle défendable.
Synthèse
Un audit se distingue d’un avis par trois propriétés : un périmètre déclaré, une méthode reproductible, des preuves. On constate, on n’exploite jamais.
Huit points suffisent. Versions, mises à jour, extensions abandonnées, comptes, authentification, sauvegardes, chiffrement, gouvernance. Le huitième, le seul non technique, est le plus déterminant.
Trois niveaux de gravité, deux constats critiques au maximum. Un rapport dont tout est critique ne hiérarchise rien.
Le rapport commence par sa conclusion, limite ses constats à cinq, traduit chaque conséquence en langage d’entreprise, dit ce qui va bien, et se termine par une question fermée.
Ce qu’on ne corrige pas s’écrit. Un risque accepté et documenté est une décision. Un risque ignoré est une négligence.
Pour la séance suivante
La séquence sécurité est terminée, et avec elle le bloc consacré à WordPress. Le module bascule sur l’intelligence artificielle, et il y reste jusqu’au projet.
La séance suivante ouvre sur la génération augmentée par récupération : brancher un modèle de langage sur vos propres documents, plutôt que sur ce qu’il a appris. C’est la réponse à un problème que vous connaissez déjà, l’assistant qui invente une réponse plausible faute de connaître la vôtre.
Une question à préparer, dont nous partirons : dans votre entreprise, quels documents un assistant devrait-il connaître pour vous être vraiment utile ? Trois suffisent, avec pour chacun ce qu’il permettrait de répondre.
