Audit cybersécurité association : 10 points à mesurer

« Sommes-nous bien protégés ? » est une question à laquelle personne ne peut répondre par oui ou par non. Elle se décompose en points mesurables, chacun observable dans la configuration de votre outil, chacun corrigeable en quelques minutes ou en quelques semaines. Les violations de données annoncées en 2026 par plusieurs associations et fédérations françaises n’ont, pour la plupart, donné lieu à aucune explication technique publique : les organisations concernées n’ont pas communiqué le vecteur employé. Raison de plus pour travailler ce que l’on maîtrise et que l’on peut mesurer soi-même.

Un audit de cybersécurité associative consiste à noter la configuration réelle d’un logiciel de gestion sur un petit nombre de critères objectifs — robustesse des mots de passe, second facteur, nombre de comptes privilégiés, filtrage des accès, traçabilité — puis à traiter les écarts par ordre de gravité. Il se mesure sur la configuration en vigueur, pas sur les intentions de la charte informatique.

À retenir

• Dix critères de configuration suffisent à établir un état des lieux honnête.
• Un critère que votre organisation n’a pas les moyens de satisfaire doit sortir du calcul, pas valoir zéro.
• Le nombre de comptes administrateurs est le point le plus souvent hors de contrôle, et le moins coûteux à corriger.
• La traçabilité ne protège de rien, mais sans elle vous ne saurez jamais ce qui a été pris ni quand.
• Aucune grille de configuration ne mesure la version installée : c’est un onzième point, à vérifier à la main.

Que mesure un audit de cybersécurité sur un logiciel de gestion ?

Un audit utile porte sur ce que l’organisation contrôle elle-même : les réglages du logiciel, la population des comptes et la trace des accès. Il ne remplace ni un test d’intrusion, ni l’audit de l’hébergement, ni l’analyse d’impact prévue par le RGPD — il les précède, parce qu’il coûte peu et corrige beaucoup.

Voici la grille en dix points, avec un poids indicatif sur cent :

#	Critère	Poids	Ce qu’il faut atteindre
1	Longueur minimale des mots de passe	15	12 caractères minimum, 14 pour les comptes privilégiés
2	Complexité imposée des mots de passe	10	règle active, sans la rendre absurde à mémoriser
3	Blocage après tentatives échouées	10	seuil bas (5 à 10), temporisation croissante
4	Renouvellement périodique	10	politique explicite, assumée dans un sens ou dans l’autre
5	Authentification multi-facteurs (MFA)	10	mesurée en pourcentage du personnel réellement équipé
6	Nombre de comptes administrateurs	10	le strict nécessaire, ratio suivi dans le temps
7	Authentification unique (SSO)	10	annuaire de l’organisation, si elle en dispose
8	Clés de sécurité et biométrie (WebAuthn)	5	au moins les comptes privilégiés
9	Filtrage des adresses IP	10	actif pour l’administration au minimum
10	Rétention des journaux d’audit	10	durée suffisante pour enquêter après coup

Le total n’a d’intérêt que comparé à lui-même, mois après mois. Un score qui monte de 62 à 78 en un trimestre dit quelque chose ; un score de 78 dans l’absolu ne dit rien.

Pourquoi un critère inapplicable ne doit pas valoir zéro

Une association de douze personnes qui ne dispose ni d’un annuaire d’entreprise ni d’une brique d’authentification multi-facteurs ne devrait pas être notée sur ces deux critères. Les compter comme des échecs produit un score plafonné et deux alertes rouges qu’aucune action ne peut lever — le meilleur moyen de faire abandonner l’audit.

La règle est simple : un critère que l’organisation n’a pas le droit ou les moyens de satisfaire quitte le dénominateur. Le score se calcule alors sur la somme des critères réellement applicables. Une structure disposant de tous les modules est notée sur cent ; une petite association est notée sur le sous-ensemble qui la concerne, et peut atteindre un score parfait sans acheter quoi que ce soit.

Ce principe a une conséquence sur la lecture des recommandations : une ligne inapplicable ne doit produire aucune recommandation. Un audit qui recommande systématiquement d’acquérir des options n’est pas un audit, c’est un devis. La distinction compte particulièrement dans le monde associatif, où le budget informatique est arbitré chaque année contre du matériel opérationnel.

Les cinq points qui rapportent le plus vite

Sur les dix critères, cinq se corrigent en une séance de travail et couvrent l’essentiel du risque courant.

• Réduire le nombre d’administrateurs. C’est le premier réflexe et le plus rentable. Un compte administrateur compromis donne accès à l’intégralité du fichier ; un compte de responsable d’antenne donne accès à son antenne. Listez les comptes privilégiés, confrontez-les aux fonctions réelles, et rétrogradez tout ce qui a été accordé « en attendant ». Les comptes d’anciens dirigeants et d’anciens prestataires sont la trouvaille classique de cet exercice.
• Porter la longueur minimale à douze caractères. La longueur protège davantage que la complexité : une phrase de passe longue résiste mieux qu’un mot court truffé de caractères spéciaux, et elle se retient. C’est un simple réglage.
• Activer le blocage après échecs répétés. Sans seuil, un attaquant peut essayer indéfiniment. Avec un seuil bas et une temporisation, l’essai automatisé devient inopérant. Prévoyez la procédure de déblocage avant d’activer la règle, sinon vous la désactiverez au premier appel un dimanche.
• Équiper d’abord les comptes privilégiés en second facteur. Le déploiement du MFA à toute une base de bénévoles prend des mois ; l’équipement des dix comptes qui voient tout prend une après-midi. Mesurez ensuite la progression en pourcentage plutôt qu’en tout ou rien : une organisation qui a équipé un tiers de son personnel n’est pas au même point que celle qui n’a rien fait.
• Allonger la rétention des journaux. Trente jours de journaux ne permettent pas d’enquêter sur une intrusion découverte cinq mois après les faits — situation exactement rencontrée par une fédération nationale de sécurité civile dont l’attaque de mars 2026 n’a été annoncée qu’en août, comme l’a rapporté la presse. Sans journaux couvrant la période, il devient impossible de déterminer l’étendue exacte de ce qui a été consulté, donc impossible d’informer correctement les personnes concernées.

Le renouvellement des mots de passe mérite une décision, pas un réflexe

Imposer un changement de mot de passe tous les trois mois n’est plus une recommandation universelle. L’expérience montre que la contrainte pousse les utilisateurs vers des variantes prévisibles — le même mot suivi d’un numéro de mois — et vers l’écriture sur papier. Les référentiels récents privilégient la longueur, le second facteur et la détection de mots de passe déjà compromis.

Le critère reste dans la grille parce qu’une politique explicite vaut mieux qu’une absence de politique, et parce que certains cadres contractuels ou assurantiels l’exigent encore. La bonne réponse est une décision écrite : soit vous imposez le renouvellement et vous l’assumez, soit vous y renoncez au profit d’exigences plus fortes sur la longueur et le MFA, et vous l’écrivez dans votre politique de sécurité. Ce qui se défend mal devant la CNIL, ce n’est ni l’un ni l’autre : c’est le réglage laissé par défaut sans que personne ne sache pourquoi.

Le onzième point : la version que vous exécutez

Aucun des dix critères ci-dessus ne mesure si votre logiciel est à jour — et c’est pourtant le facteur qui peut annuler tous les autres. Une politique de mots de passe irréprochable ne compense pas un défaut corrigé il y a deux ans dans une version que vous n’avez pas installée.

Ajoutez donc à votre grille une ligne que vous renseignerez à la main, une fois par trimestre :

Question	Réponse attendue
Quelle version exacte est en production ?	un numéro, pas « la dernière je crois »
Combien de versions ont été publiées depuis ?	un chiffre fourni par l’éditeur
Cette version reçoit-elle encore des correctifs ?	oui / non, par écrit
Qui décide de la montée de version, et quand ?	un nom et une date

Les conséquences d’une réponse négative à la troisième ligne sont détaillées dans notre article sur la mise à jour d’un logiciel de gestion. Les obligations de conformité qui encadrent l’ensemble figurent dans notre checklist RGPD pour les associations.

Questions fréquentes

À quelle fréquence refaire cet audit ?

Une fois par trimestre suffit pour les dix critères de configuration, et à chaque renouvellement de bureau ou de conseil d’administration pour la revue des comptes administrateurs. Ajoutez une revue exceptionnelle après tout départ d’un dirigeant ou d’un prestataire disposant d’accès.

Faut-il un prestataire externe pour réaliser cet audit ?

Non pour cette grille : elle est conçue pour être remplie par le responsable informatique bénévole ou le secrétaire général, à partir des écrans de configuration. Un prestataire externe devient utile pour l’étape suivante — test d’intrusion, audit d’hébergement, analyse d’impact sur les traitements sensibles.

Le score doit-il être communiqué aux adhérents ?

Il n’y a aucune obligation en ce sens, et publier un score faible renseigne un attaquant. En revanche, présenter la démarche et sa progression au conseil d’administration crée la trace de décision qui vous sera utile en cas de contrôle.

Que faire des comptes de bénévoles inactifs ?

Désactivez-les, ne les supprimez pas immédiatement si l’historique d’activité doit être conservé pour des raisons opérationnelles ou légales. Un compte inactif mais actif techniquement est une porte ouverte sans surveillance ; c’est souvent par là que passe une réutilisation de mot de passe volé ailleurs.

Notre hébergeur nous dit que tout est sécurisé, est-ce suffisant ?

L’hébergeur répond du système, du réseau et des sauvegardes. Les dix critères de cette grille relèvent de la configuration applicative, qui reste de votre ressort. Les deux périmètres sont complémentaires et aucun ne couvre l’autre.

Le onzième point se lit d’un coup d’œil sur la frise des versions et des moyens de protection, qui compte ce que chaque version d’eBrigade rend disponible.

Un audit ne vaut que s’il se rejoue sans effort. eBrigade intègre cette grille dans son tableau de bord de sécurité : le score se recalcule sur les critères applicables à votre organisation, chaque écart s’accompagne du réglage à modifier, et les critères portés par des options que vous n’avez pas souscrites sortent du calcul au lieu de vous pénaliser.