EXEMPLE. Cabinet Exemple inc. n’existe pas. Les constats, les nombres et les noms sont inventés pour montrer la forme du rapport. Un vrai rapport contient vos constats et des captures d’écran.
Cabinet Exemple inc. : bilan TI d’une journée
Bureau de 8 postes, Microsoft 365 Business Standard, une imprimante partagée, un Wi-Fi de bureau. Préparé par Yazan Rajabi. Lecture seule sur vos comptes, rien n’a été modifié.
En une page
À corrigerCourriel
À corrigerAccès et sécurité
À corrigerSauvegardes
À surveillerLicences et postes
À surveillerSite Web et Loi 25 (TI)
À surveillerRéseau et Wi-Fi
Trois points sont urgents et se règlent en environ une journée au total. Cinq autres peuvent attendre le mois qui suit. Le détail de chaque constat suit.
Les constats, du plus urgent au moins urgent
1. La MFA n’est pas exigée pour 3 comptes sur 8, dont celui de la propriétaire
- Constat
- Le journal de connexion montre des ouvertures de session par mot de passe seulement pour 3 comptes.
- Pourquoi c’est important
- Un mot de passe volé est la porte d’entrée la plus courante. Selon Microsoft, la MFA et le blocage de l’authentification héritée arrêtent plus de 99,9 % des attaques d’identité courantes.
- Correctif
- Activer les paramètres de sécurité par défaut, inscrire Microsoft Authenticator pour chaque compte, créer deux comptes d’accès d’urgence.
- Effort
- 1 h, plus 10 min par personne
- Qui
- Moi, avec la propriétaire
2. Deux enregistrements SPF et aucun DMARC
- Constat
- Le domaine publie deux enregistrements SPF (un ajouté par l’infolettre) et aucun enregistrement DMARC.
- Pourquoi c’est important
- Deux enregistrements SPF font échouer la vérification, donc les courriels du bureau peuvent finir dans les indésirables, et n’importe qui peut envoyer des courriels qui semblent venir du domaine.
- Correctif
- Fusionner en un seul SPF, activer DKIM dans Microsoft 365, publier DMARC en surveillance (p=none) avec rapports, puis resserrer.
- Effort
- 1 à 2 h, puis 2 à 4 semaines de surveillance
- Qui
- Moi
3. Le dossier partagé est sur un seul ordinateur, sans copie ailleurs
- Constat
- Les dossiers clients sont sur le poste de la réceptionniste. Aucune restauration n’a jamais été testée.
- Pourquoi c’est important
- Un disque défaillant ou un rançongiciel suffit pour tout perdre.
- Correctif
- Déplacer les dossiers vers SharePoint ou OneDrive avec historique des versions, ajouter une sauvegarde Microsoft 365, tester une restauration.
- Effort
- Une demi-journée
- Qui
- Moi
4. Deux anciens employés ont encore un compte actif et une licence payée
- Constat
- Deux comptes d’employés partis depuis plus de 90 jours peuvent encore ouvrir une session.
- Pourquoi c’est important
- Un coût mensuel inutile et une porte ouverte.
- Correctif
- Bloquer la connexion, convertir en boîte partagée ou archiver, retirer la licence, adopter une liste de départ.
- Effort
- 1 h
- Qui
- Moi ou la propriétaire
5. 3 postes sur 8 sont sous Windows 10 et 2 ne sont pas chiffrés
- Constat
- Windows 10 n’est plus pris en charge depuis le 14 octobre 2025. Deux portables n’ont pas de chiffrement de disque.
- Pourquoi c’est important
- Sans correctifs, un poste est exposé. Un portable perdu non chiffré expose les données des clients.
- Correctif
- Passer à Windows 11 ou remplacer les postes non admissibles, activer BitLocker, régler les mises à jour.
- Effort
- 2 à 3 h par poste
- Qui
- Moi
6. 5 utilisateurs sont administrateurs de leur poste
- Constat
- Cinq comptes d’employés ont les droits d’administrateur local.
- Pourquoi c’est important
- Un logiciel malveillant ouvert par erreur peut alors s’installer partout.
- Correctif
- Comptes standards pour tous, un compte administrateur séparé.
- Effort
- 1 h
- Qui
- Moi
7. Un seul mot de passe Wi-Fi pour le personnel, les visiteurs et l’imprimante
- Constat
- Le mot de passe n’a pas changé depuis l’installation. Aucun réseau pour les invités.
- Pourquoi c’est important
- Tout appareil qui connaît le mot de passe voit le réseau du bureau.
- Correctif
- Réseau invités séparé, nouveau mot de passe, mise à jour du micrologiciel du routeur.
- Effort
- 1 h
- Qui
- Moi
8. Un outil d’analyse se charge sans avis, et aucun registre des incidents n’existe
- Constat
- Le site charge un outil d’analyse sans avis aux visiteurs. La page de confidentialité ne nomme aucune personne responsable. Aucun registre des incidents.
- Pourquoi c’est important
- Ce sont des obligations de la Loi 25 qui se règlent en partie côté TI.
- Correctif
- Ajouter un avis ou retirer l’outil, nommer le responsable, ouvrir un registre simple. La rédaction juridique revient à un avocat.
- Effort
- 2 h
- Qui
- Moi pour la partie TI, un avocat pour le texte
Ce que ce rapport n’est pas
Ce n’est pas un avis juridique. Pour la Loi 25, je règle les contrôles techniques et je vous dis ce qui demande un juriste. Voir le guide Loi 25.
Et ensuite
Je passe le rapport en revue avec vous pendant 30 minutes. Vous décidez ensuite quoi corriger, avec moi ou sans moi. Le bilan coûte 500 $ et ce montant est crédité sur un projet décidé dans les 30 jours.