Une mairie detient l’etat civil, les listes electorales, les inscriptions scolaires et l’aide sociale de ses habitants. Pourtant, la plupart investissent presque rien en securite. L’audit informatique n’est pas un luxe pour grandes villes : c’est le premier reflexe pour toute collectivite qui traite des donnees d’administres.
Pourquoi les collectivites sont-elles autant ciblees ?
Parce qu’elles concentrent des donnees sensibles et disposent souvent de moyens limites. Cette combinaison en fait une cible facile. Les attaquants le savent et frappent des communes de toutes tailles.
La CNIL rappelle que toute collectivite, quelle que soit sa taille, doit securiser ses fichiers et ses services numeriques de facon active. Le cadre est detaille dans son espace dedie aux collectivites territoriales.
Le sous-investissement aggrave le risque. Sans audit, une collectivite ignore ses failles jusqu’au jour de l’incident, souvent un rancongiciel qui paralyse le service public.
Qu’est-ce qu’un audit informatique de collectivite ?
C’est un etat des lieux structure du systeme d’information au regard de la securite et du RGPD. Il recense les traitements, les acces, les equipements et les prestataires, puis mesure les ecarts avec l’etat de l’art.
L’audit ne se limite pas a la technique. Il regarde aussi l’organisation : qui gere les mises a jour, qui a les droits administrateurs, comment sont geres les depart des agents.
| Volet audite | Question cle |
|---|---|
| Cartographie | Quels traitements et quelles donnees ? |
| Acces et comptes | Qui accede a quoi, avec quels droits ? |
| Sauvegardes | Sont-elles testees et isolees ? |
| Prestataires | Sont-ils encadres par contrat ? |
Une collectivite gagne a coupler cet audit avec un pilotage continu de sa conformite, plutot qu’un diagnostic isole. Confier ce pilotage a un DPO externalise transforme une obligation en tranquillite.
Comment se deroule l’audit, etape par etape ?
La demarche suit un fil simple, du cadrage au plan d’action.
- Cadrer le perimetre : services, sites, applications concernes.
- Cartographier les traitements et les flux de donnees.
- Tester la securite : comptes, mots de passe, sauvegardes, acces distants.
- Hierarchiser les ecarts selon le risque pour les administres.
- Batir un plan d’action et le suivre dans le temps.
La robustesse des acces est un point recurrent. Revoir la securite des mots de passe et activer la double authentification figurent souvent en tete des corrections.
Quel lien avec le RGPD et NIS2 ?
La securite sert directement la conformite. L’article 32 du RGPD impose des mesures adaptees au risque, et un audit en fournit la preuve. La directive NIS2 renforce en outre les obligations de nombreux acteurs publics.
Un DPO est par ailleurs obligatoire pour toute collectivite. Il pilote la conformite et exploite les resultats de l’audit, comme le rappelle notre guide sur la conformite RGPD des collectivites.
Mutualiser l’audit et le DPO pour reduire le cout
Une petite commune n’a ni les moyens ni le besoin d’un expert a plein temps. La mutualisation resout cette equation. Plusieurs collectivites partagent un DPO et une demarche d’audit, ce qui divise le cout tout en gardant le niveau d’expertise.
Ce modele se developpe fortement dans les territoires. Il permet a une commune de quelques centaines d’habitants de beneficier du meme accompagnement qu’une grande ville, avec un budget adapte. L’audit devient alors accessible, la ou il paraissait hors de portee.
Le DPO mutualise assure aussi la continuite. Il ne se contente pas d’un diagnostic ponctuel, il suit le plan d’action, verifie les corrections et alerte en cas de nouvelle menace. La securite d’une collectivite se joue dans la duree, pas dans un rapport unique.
FAQ
Un audit informatique est-il obligatoire pour une commune ?
Aucun texte n’impose un audit annuel nomme comme tel, mais l’article 32 du RGPD exige des mesures de securite adaptees au risque, et NIS2 renforce ces attentes. Un audit reste le moyen le plus simple de les demontrer. Pour une commune qui traite des donnees d’administres, il est fortement recommande et souvent attendu en cas d’incident.
Combien coute un audit pour une petite commune ?
Le cout depend du perimetre et de la taille du systeme d’information. Pour une petite commune, la mutualisation permet de reduire fortement la facture, en partageant l’expertise entre plusieurs structures. Le bon repere reste le rapport entre ce cout et celui d’un rancongiciel qui paralyse le service public pendant des semaines.
Qui doit realiser l’audit ?
Un audit gagne a etre mene par un regard externe, independant des equipes qui gerent le systeme au quotidien. Le DPO, souvent externalise ou mutualise dans les collectivites, coordonne la demarche et exploite les resultats. L’objectif est un diagnostic honnete, suivi d’un plan d’action realiste, pas un rapport qui reste dans un tiroir.
Que faire des resultats de l’audit ?
Les resultats se traduisent en plan d’action hierarchise selon le risque pour les administres. Chaque correction se planifie, se documente et se verifie. L’audit n’a de valeur que suivi d’effets. Conserver la trace des mesures prises constitue aussi une preuve de diligence precieuse en cas de controle de la CNIL ou d’incident de securite.
