Audit et sécurisation Active Directory

Votre Active Directory, le socle de tous vos accès

L’Active Directory centralise l’authentification de toute votre entreprise : s’il est mal configuré, un risque de configuration mal maîtrisé peut donner accès à l’ensemble de votre système d’information. C’est pourtant l’un des composants les moins audités, car son fonctionnement reste technique et peu visible au quotidien.

• Audit complet de la configuration de votre annuaire (analyse en lecture, sans aucune action intrusive). Ce n’est pas un test d’intrusion (pentest).
• Détection des risques de configuration courants : délégations excessives, comptes obsolètes ou à privilèges mal maîtrisés, mots de passe faibles, stratégies de groupe (GPO) mal configurées.
• Rapport priorisé et vulgarisé, lisible par une direction non technique.
• Accompagnement à la remédiation, optionnel et validé séparément, dimensionné selon les points sensibles réellement trouvés.

Pour qui ?

• PME et ETI dont l’authentification repose sur un Active Directory.
• Entreprises engagées dans une démarche ISO 27001, HDS ou NIS 2 : cet audit peut y contribuer, mais ne constitue pas à lui seul une certification ou une mise en conformité complète.
• Structures ayant subi un incident lié à des comptes ou des accès compromis.

Un parcours en 3 prestations distinctes

L’audit est la seule étape systématique. Les interventions suivantes restent optionnelles et sont décidées séparément selon les constats.

1. Audit AD : forfait selon la taille de l’annuaire (voir tableau ci-dessous) : analyse complète et rapport priorisé. C’est la seule étape systématique ; elle ne modifie rien dans votre environnement.
2. Remédiation (optionnelle) : devis établi après l’audit, facturé en régie (800 €/jour) selon le nombre et la criticité des points identifiés. Pas de forfait à l’aveugle : vous savez exactement ce que vous payez et pourquoi. Toujours validée séparément avant toute intervention.
3. Migrations associées : si l’audit révèle un besoin de modernisation plus large (ex. un serveur vieillissant à faire évoluer), cette partie fait l’objet d’un devis complémentaire, en fonction du besoin identifié.

Les opérations de remédiation à mener hors heures ouvrées sont majorées de +50 % du TJM (soit 1 200 €/jour). Cette disponibilité ponctuelle est proposée sur devis, sans astreinte sécurité ni supervision continue associée.

Après l’audit, vous pouvez demander la mise en œuvre des correctifs recommandés. Aucune modification n’est réalisée avant votre validation écrite du périmètre et du devis.

Tarif de l’audit selon la taille de l’annuaire

Taille de l’Active Directory	Tarif
1 domaine, jusqu’à 50 comptes	À partir de 2 500 €
1 domaine, 51 à 200 comptes	À partir de 4 000 €
Multi-domaines, forêt complexe ou plus de 200 comptes	Sur devis

Déroulé de l’audit

1. Préparation : périmètre de l’annuaire à auditer (nombre de domaines, de comptes, de contrôleurs de domaine).
2. Audit : analyse en lecture de la configuration, des délégations, des stratégies de groupe et des comptes à privilèges.
3. Restitution : rapport vulgarisé avec score de risque et plan d’action priorisé (critique, haute, moyenne, faible).

Livrables

• Rapport d’audit AD avec score de risque et cartographie des risques et points de configuration sensibles.
• Plan d’action correctif priorisé.
• Synthèse exécutive pour la direction.
• Devis de remédiation détaillé si des points sensibles sont identifiés.

Services associés

• Sensibilisation à la cybersécurité pour traiter le facteur humain.
• À lire : Pourquoi auditer son Active Directory, Checklist d’audit de sécurité PME et Directive NIS 2.

FAQ

L’audit modifie-t-il quoi que ce soit dans mon Active Directory ? Non. L’audit est une analyse en lecture uniquement, non intrusive : aucune action n’est effectuée sur votre annuaire à ce stade, et il ne s’agit pas d’un test d’intrusion (pentest). Seule la remédiation, optionnelle et toujours validée par vous au préalable, implique des modifications.

Pourquoi le prix de la remédiation n’est-il pas fixe ? Parce qu’il dépend directement du nombre et de la gravité des points de configuration sensibles trouvés : un AD propre demande quelques heures de correctifs, un AD négligé depuis des années peut en demander plusieurs jours. Le devis n’est établi qu’une fois l’audit terminé, pour ne facturer que ce qui est réellement nécessaire.

Pourquoi une majoration en cas d’intervention hors heures ouvrées ? Une remédiation sur l’annuaire peut temporairement affecter l’authentification de vos collaborateurs. Beaucoup d’entreprises préfèrent que ces opérations soient menées en dehors de leurs horaires de production, ce qui implique une disponibilité élargie de notre part, d’où la majoration de 50 % sur ces créneaux. Cette disponibilité reste ponctuelle et sur devis : elle ne constitue ni une astreinte sécurité ni une supervision continue.

Cet audit suffit-il pour une certification ISO, HDS ou NIS 2 ? Non. L’audit peut contribuer à une démarche ISO 27001, HDS ou NIS 2 en traitant un point de contrôle souvent critique (la gestion des identités et des accès), mais il ne constitue pas à lui seul une certification ou une mise en conformité complète : d’autres exigences de ces référentiels sortent du périmètre de cette prestation.

Cette prestation garantit-elle l’absence totale de faille future ? Non, comme tout audit de sécurité, cette prestation relève d’une obligation de moyens et non de résultat : elle identifie et priorise les principaux risques visibles dans le périmètre audité, au regard de l’état de l’art, sans pouvoir garantir l’absence totale de faille ou d’incident futur.