Audit sécurité cloud Maroc 2026 : coûts et checklist CNDP

Un audit de sécurité cloud pour une PME marocaine coûte entre 15 000 et 120 000 MAD HT selon le périmètre, et la plupart des entreprises qui ont migré ces trois dernières années n’en ont jamais fait un. La migration s’est terminée, les factures mensuelles tombent, tout fonctionne : personne n’est revenu vérifier qui a accès à quoi, si les sauvegardes se restaurent vraiment, ni où sont physiquement les données des clients.

La question arrive en général de l’extérieur. Un client grand compte envoie un questionnaire sécurité de quarante pages. Un donneur d’ordre glisse une clause de conformité dans le contrat cadre. Ou un incident (compte compromis, fichier exposé, ransomware chez un fournisseur) fait remonter le sujet au comité de direction.

Cet article vous donne les fourchettes de prix 2026, ce qu’un audit couvre réellement, les failles que l’on retrouve dans presque toutes les PME, ce que dit la loi 09-08 pour les données hébergées, et ce que vous pouvez vérifier vous-même avant de payer qui que ce soit.

Pourquoi la sécurité cloud reste un angle mort une fois la migration terminée

Un projet de migration se termine quand les applications tournent. C’est le critère de recette, c’est ce que le prestataire facture, c’est ce que la direction attend. La sécurité, elle, a été configurée pour que le projet avance : des droits larges donnés à l’équipe de migration, des règles réseau ouvertes « temporairement » pour les tests, un compte administrateur partagé sur un fichier Excel. Six mois plus tard, tout cela est toujours en place.

Le second angle mort est le modèle de responsabilité partagée. Le fournisseur cloud, qu’il soit hyperscaler ou hébergeur marocain, sécurise ses datacenters, son réseau physique et ses services de base. Tout ce qui est au-dessus (configuration, comptes, chiffrement, sauvegardes, mises à jour des serveurs virtuels, code applicatif) reste à votre charge. Beaucoup de dirigeants pensent avoir « externalisé la sécurité » en migrant. Ils ont externalisé le bâtiment, pas les serrures.

Si vous avez chiffré votre projet avec notre guide sur le prix et les délais d’une migration cloud au Maroc, vous avez remarqué que la ligne « sécurisation post-migration » y est explicitement séparée. C’est cette ligne que l’audit vient vérifier.

Ce que couvre réellement un audit de sécurité cloud

Un audit de sécurité cloud n’est pas un scan automatique envoyé par e-mail. C’est une revue structurée, par une personne qui comprend votre plateforme, de la façon dont votre infrastructure est configurée, administrée et surveillée, comparée à un référentiel reconnu (CIS Benchmarks du fournisseur, ISO 27001, matrice CSA) et à vos obligations contractuelles et légales.

Le périmètre habituel se découpe en six blocs :

• Identités et accès : qui possède le compte racine, qui est administrateur, présence du MFA, comptes d’anciens salariés ou prestataires, clés API en circulation, rôles trop larges.
• Configuration des services : stockage exposé publiquement, chiffrement au repos et en transit, versions des systèmes, paramètres laissés par défaut.
• Réseau : ports ouverts sur Internet, segmentation entre production et test, accès distants (VPN, bastion, RDP ou SSH direct).
• Sauvegardes et reprise : fréquence, rétention, isolation par rapport à la production, et surtout test réel de restauration.
• Journalisation et détection : les journaux sont-ils activés, conservés, et quelqu’un les regarde-t-il ?
• Conformité et contrats : localisation des données, clauses du contrat d’hébergement, sous-traitants, cohérence avec vos déclarations CNDP.

Un test d’intrusion (externe, applicatif ou les deux) peut s’ajouter, mais c’est une prestation distincte avec son propre prix. Le livrable attendu est un rapport classé par criticité, avec des preuves (captures, exports de configuration) et un plan de remédiation priorisé, plus une restitution orale à la direction en langage non technique.

Audit sécurité cloud Maroc : fourchettes de prix 2026

Les prix ci-dessous sont des ordres de grandeur constatés sur le marché marocain en 2026, hors taxes, pour une PME de 20 à 250 personnes. Un cabinet international ou une équipe basée en Europe facturera en général le double.

• Revue de posture (3 à 5 jours) : 15 000 à 40 000 MAD. Un seul compte ou abonnement cloud, revue des accès, de la configuration et des sauvegardes, rapport synthétique. Suffisant pour répondre à un questionnaire client ou obtenir une première photographie honnête.
• Audit complet (8 à 15 jours) : 40 000 à 90 000 MAD. Les six blocs ci-dessus, entretiens avec l’équipe IT et le prestataire, revue des contrats, cartographie des données, plan de remédiation détaillé.
• Audit complet avec test d’intrusion : 80 000 à 150 000 MAD. Ajoute un pentest externe et, souvent, un test applicatif sur votre plateforme principale. C’est le format demandé par les banques, assureurs et grands groupes industriels à leurs fournisseurs.

Le tarif journalier d’un consultant sécurité cloud au Maroc se situe entre 3 500 et 8 000 MAD selon l’expérience et les certifications. Ce qui fait varier la facture : le nombre de comptes ou d’abonnements, le nombre de services managés utilisés (trois machines virtuelles ne s’auditent pas comme quarante services cloud natifs), la présence ou non d’un pentest, et le niveau de formalisme du rapport si un tiers doit le lire.

Deux coûts sont presque toujours oubliés. La remédiation n’est pas incluse : comptez de quelques jours en interne à 20–50 % du prix de l’audit si vous la confiez à un prestataire. Et l’audit n’a de valeur que s’il est répété : un contrôle annuel, complété par des scans de configuration automatiques (souvent gratuits ou inclus chez les hyperscalers) ou par une supervision managée de 3 000 à 15 000 MAD par mois.

Les failles les plus fréquentes chez les PME : accès, sauvegardes, configuration par défaut

Les audits de PME marocaines ramènent presque toujours les mêmes constats. Les connaître vous permet de juger si votre situation est banale ou préoccupante.

Accès

Le compte racine est rattaché à l’adresse e-mail d’un ancien prestataire ou d’un salarié parti. Le MFA n’est activé que sur certains comptes, jamais sur les comptes de service. Des identifiants d’administration sont partagés entre plusieurs personnes. Des clés API traînent dans du code, des fichiers de configuration ou des conversations WhatsApp. Le développeur freelance qui a livré le site en 2023 est toujours administrateur.

Sauvegardes

Elles existent, mais personne n’a jamais tenté de restaurer un serveur complet. Elles sont stockées dans le même compte et la même région que la production : un ransomware ou une erreur d’administration les chiffre ou les supprime en même temps. La rétention est de sept jours alors qu’une compromission met souvent plusieurs semaines à être détectée.

Configuration par défaut

Un port SSH ou RDP ouvert sur tout Internet « pour dépanner ». Un espace de stockage en accès public parce qu’un export devait être partagé une fois. Le chiffrement désactivé sur une base de données parce que l’option n’était pas cochée par défaut. Les journaux d’audit désactivés pour économiser quelques dizaines de dirhams par mois. Aucune de ces failles n’est sophistiquée. C’est précisément pour cela qu’elles sont exploitées.

CNDP et hébergement cloud : ce que dit la loi 09-08 sur les données sensibles et le transfert

Dès que votre cloud héberge des données de clients, de salariés ou de prospects, vous êtes responsable de traitement au sens de la loi 09-08, et votre hébergeur est un sous-traitant. Trois points concernent directement l’audit.

D’abord, la localisation. Un hébergement dans une région située hors du Maroc constitue un transfert de données vers l’étranger, encadré par la loi et soumis, sauf exceptions, à une autorisation de la CNDP. Beaucoup de PME ont choisi une région européenne par réflexe, sans se poser la question. L’audit doit produire une cartographie claire : quelles données, dans quel service, dans quel pays, y compris pour les sauvegardes et les réplicas.

Ensuite, la sécurité. La loi impose au responsable de traitement de prendre des mesures techniques et organisationnelles appropriées pour protéger les données. Elle ne liste pas de mesures précises : un rapport d’audit daté, avec un plan de remédiation suivi, est la manière la plus concrète de démontrer que vous avez fait le nécessaire.

Enfin, les contrats. Le contrat avec votre hébergeur doit préciser ses obligations de sécurité, de confidentialité et de notification en cas d’incident. Les conditions générales d’un hyperscaler couvrent ces points de façon standardisée ; celles d’un hébergeur local ne le font pas toujours. Les données dites sensibles (santé, données biométriques, opinions, etc.) obéissent à un régime d’autorisation préalable plus strict. Les seuils et procédures évoluent : vérifiez sur le site de la CNDP avant de vous engager, et servez-vous de notre checklist de conformité CNDP loi 09-08 pour la partie organisationnelle, que l’audit cloud ne couvre pas.

Si vous fournissez un organisme public ou une infrastructure d’importance vitale, la loi 05-20 relative à la cybersécurité et les exigences de la DGSSI peuvent aussi s’appliquer à votre chaîne de sous-traitance. Demandez à votre donneur d’ordre ce qu’il attend précisément.

Cloud souverain ou hyperscaler : quel impact sur le périmètre et le coût de l’audit

Le choix de plateforme change la nature de l’audit plus que son prix. Chez un hyperscaler (AWS, Azure, Google Cloud, Oracle), la surface à auditer est large : des dizaines de services, chacun avec ses paramètres. En contrepartie, les outils natifs de score de sécurité, les référentiels CIS publiés et les rapports de certification du fournisseur réduisent le travail de l’auditeur. La partie « fournisseur » de l’audit se résume souvent à lire les attestations existantes.

Chez un hébergeur marocain ou sur une offre souveraine (inwi, opérateurs de datacenters locaux, régions marocaines annoncées par certains hyperscalers), l’infrastructure ressemble davantage à des machines virtuelles classiques. L’audit se rapproche d’un audit d’infrastructure traditionnel : systèmes, réseau, sauvegardes. Mais l’auditeur doit passer plus de temps sur le fournisseur lui-même, car les rapports publics sont plus rares : certifications réelles, engagements contractuels, procédures d’incident, sécurité physique.

Le cas le plus coûteux est l’hybride : une partie chez un hyperscaler, une partie chez un hébergeur local, un serveur historique dans un placard à Casablanca. Chaque environnement a son référentiel, et les liaisons entre eux sont souvent le maillon faible. Si ce choix est encore devant vous, notre comparaison des offres de cloud souverain au Maroc détaille ce que chaque option implique en matière de localisation et de conformité.

Ce que vous pouvez vérifier vous-même avant de payer un audit

Deux heures avec votre responsable IT ou votre prestataire, un accès à la console d’administration, et vous aurez déjà un diagnostic honnête. Faites ces vérifications dans l’ordre :

1. Le compte racine. À quelle adresse e-mail est-il rattaché ? Qui connaît le mot de passe ? Le MFA est-il activé ? Si la réponse implique une personne qui ne travaille plus avec vous, arrêtez-vous là : c’est votre priorité.
2. La liste des administrateurs. Exportez tous les utilisateurs et rôles. Chaque nom doit correspondre à une personne en poste, avec un besoin réel. Supprimez le reste.
3. Le MFA généralisé. Vérifiez qu’il est obligatoire, pas seulement disponible, pour tous les comptes humains.
4. Le stockage public. Chaque console propose un filtre « accès public ». La liste doit être vide ou justifiée ligne par ligne.
5. Les ports ouverts. Cherchez les règles réseau autorisant « 0.0.0.0/0 » ou « Any » vers des ports d’administration (22, 3389, 3306, 1433, 5432).
6. Une vraie restauration. Restaurez une sauvegarde sur un serveur de test et chronométrez. Si personne ne sait comment faire, vous n’avez pas de sauvegarde, vous avez de l’espoir.
7. La région. Notez le pays de chaque ressource, sauvegardes comprises. Confrontez-le à ce que vous avez déclaré à la CNDP.
8. Le score de sécurité natif. Les hyperscalers affichent gratuitement un score et une liste de recommandations. Lisez-la avant l’auditeur : cela vous évite de payer pour des constats évidents.

Ce que cette auto-vérification ne remplace pas : l’analyse des interactions entre services, la revue des contrats, le test d’intrusion, et surtout le regard extérieur qu’un client ou un auditeur exigera.

Comment choisir le bon prestataire et lire son rapport d’audit

Un bon prestataire commence par écrire le périmètre avec vous : quels comptes, quels environnements, quel référentiel, quelles exclusions, quel livrable et pour quel lecteur. Il travaille avec des accès en lecture seule, qu’il vous demande de révoquer à la fin. Il cite ses sources (référentiel CIS, guide du fournisseur, exigence légale) pour chaque constat. Il distingue ce qui est critique de ce qui est cosmétique, et il vous dit ce qui peut attendre.

Quelques signaux qui doivent vous alerter :

• L’audit est gratuit et se conclut par un devis de migration vers la plateforme que le prestataire revend.
• Le rapport est l’export brut d’un outil de scan, sans priorisation ni explication.
• Les constats n’ont pas de preuve : pas de capture, pas d’identifiant de ressource, pas de date.
• La personne qui audite est celle qui a fait la migration, sans regard extérieur. Ce n’est pas rédhibitoire dans une petite structure, mais demandez au moins qu’un autre membre de l’équipe relise.
• Le prestataire refuse de faire une restitution orale à la direction.

À la lecture du rapport, concentrez-vous sur trois questions : quels constats un attaquant exploiterait-il en premier, quels constats un client ou la CNDP verrait-ils en premier, et combien coûte la remédiation de chacun. Si les réponses ne sont pas évidentes, le rapport n’est pas fini.

Enfin, si l’audit révèle que le problème dépasse le cloud (processus, outils métiers, données), il est souvent plus rentable d’élargir la démarche. Notre article sur le prix d’un audit de transformation digitale au Maroc détaille ce format plus large et ce qu’il coûte.

Et maintenant ?

Arrowlancer accompagne les PME marocaines sur l’ensemble de la chaîne cloud et infrastructure : migration, hébergement souverain ou hyperscaler, et sécurisation de ce qui est déjà en place, avec un rapport lisible par votre direction comme par vos clients. Vous trouverez le détail de nos services cloud et infrastructure sur le site.

Si vous devez répondre à un questionnaire client, à une clause de conformité ou simplement savoir où vous en êtes, écrivez-nous via le formulaire de contact : nous cadrons le périmètre et vous donnons un chiffrage en quelques jours.