Ce que couvre r\u00e9ellement un audit de s\u00e9curit\u00e9 cloud<\/h2>\n
Un audit de s\u00e9curit\u00e9 cloud n’est pas un scan automatique envoy\u00e9 par e-mail. C’est une revue structur\u00e9e, par une personne qui comprend votre plateforme, de la fa\u00e7on dont votre infrastructure est configur\u00e9e, administr\u00e9e et surveill\u00e9e, compar\u00e9e \u00e0 un r\u00e9f\u00e9rentiel reconnu (CIS Benchmarks du fournisseur, ISO 27001, matrice CSA) et \u00e0 vos obligations contractuelles et l\u00e9gales.<\/p>\n
![\"Audit](\"https:\/\/storage.googleapis.com\/arrowlancer-prod.firebasestorage.app\/blog-ma\/audit-securite-cloud-maroc-prix-2026\/1.jpg\")
<\/p>\n
Le p\u00e9rim\u00e8tre habituel se d\u00e9coupe en six blocs :<\/p>\n
- \n
- Identit\u00e9s et acc\u00e8s<\/strong> : qui poss\u00e8de le compte racine, qui est administrateur, pr\u00e9sence du MFA, comptes d’anciens salari\u00e9s ou prestataires, cl\u00e9s API en circulation, r\u00f4les trop larges.<\/li>\n
- Configuration des services<\/strong> : stockage expos\u00e9 publiquement, chiffrement au repos et en transit, versions des syst\u00e8mes, param\u00e8tres laiss\u00e9s par d\u00e9faut.<\/li>\n
- R\u00e9seau<\/strong> : ports ouverts sur Internet, segmentation entre production et test, acc\u00e8s distants (VPN, bastion, RDP ou SSH direct).<\/li>\n
- Sauvegardes et reprise<\/strong> : fr\u00e9quence, r\u00e9tention, isolation par rapport \u00e0 la production, et surtout test r\u00e9el de restauration.<\/li>\n
- Journalisation et d\u00e9tection<\/strong> : les journaux sont-ils activ\u00e9s, conserv\u00e9s, et quelqu’un les regarde-t-il ?<\/li>\n
- Conformit\u00e9 et contrats<\/strong> : localisation des donn\u00e9es, clauses du contrat d’h\u00e9bergement, sous-traitants, coh\u00e9rence avec vos d\u00e9clarations CNDP.<\/li>\n<\/ul>\n
Un test d’intrusion (externe, applicatif ou les deux) peut s’ajouter, mais c’est une prestation distincte avec son propre prix. Le livrable attendu est un rapport class\u00e9 par criticit\u00e9, avec des preuves (captures, exports de configuration) et un plan de rem\u00e9diation prioris\u00e9, plus une restitution orale \u00e0 la direction en langage non technique.<\/p>\n
Audit s\u00e9curit\u00e9 cloud Maroc : fourchettes de prix 2026<\/h2>\n
Les prix ci-dessous sont des ordres de grandeur constat\u00e9s sur le march\u00e9 marocain en 2026, hors taxes, pour une PME de 20 \u00e0 250 personnes. Un cabinet international ou une \u00e9quipe bas\u00e9e en Europe facturera en g\u00e9n\u00e9ral le double.<\/p>\n
- \n
- Revue de posture (3 \u00e0 5 jours)<\/strong> : 15 000 \u00e0 40 000 MAD. Un seul compte ou abonnement cloud, revue des acc\u00e8s, de la configuration et des sauvegardes, rapport synth\u00e9tique. Suffisant pour r\u00e9pondre \u00e0 un questionnaire client ou obtenir une premi\u00e8re photographie honn\u00eate.<\/li>\n
- Audit complet (8 \u00e0 15 jours)<\/strong> : 40 000 \u00e0 90 000 MAD. Les six blocs ci-dessus, entretiens avec l’\u00e9quipe IT et le prestataire, revue des contrats, cartographie des donn\u00e9es, plan de rem\u00e9diation d\u00e9taill\u00e9.<\/li>\n
- Audit complet avec test d’intrusion<\/strong> : 80 000 \u00e0 150 000 MAD. Ajoute un pentest externe et, souvent, un test applicatif sur votre plateforme principale. C’est le format demand\u00e9 par les banques, assureurs et grands groupes industriels \u00e0 leurs fournisseurs.<\/li>\n<\/ul>\n
Le tarif journalier d’un consultant s\u00e9curit\u00e9 cloud au Maroc se situe entre 3 500 et 8 000 MAD selon l’exp\u00e9rience et les certifications. Ce qui fait varier la facture : le nombre de comptes ou d’abonnements, le nombre de services manag\u00e9s utilis\u00e9s (trois machines virtuelles ne s’auditent pas comme quarante services cloud natifs), la pr\u00e9sence ou non d’un pentest, et le niveau de formalisme du rapport si un tiers doit le lire.<\/p>\n
Deux co\u00fbts sont presque toujours oubli\u00e9s. La rem\u00e9diation n’est pas incluse : comptez de quelques jours en interne \u00e0 20\u201350 % du prix de l’audit si vous la confiez \u00e0 un prestataire. Et l’audit n’a de valeur que s’il est r\u00e9p\u00e9t\u00e9 : un contr\u00f4le annuel, compl\u00e9t\u00e9 par des scans de configuration automatiques (souvent gratuits ou inclus chez les hyperscalers) ou par une supervision manag\u00e9e de 3 000 \u00e0 15 000 MAD par mois.<\/p>\n
Les failles les plus fr\u00e9quentes chez les PME : acc\u00e8s, sauvegardes, configuration par d\u00e9faut<\/h2>\n
Les audits de PME marocaines ram\u00e8nent presque toujours les m\u00eames constats. Les conna\u00eetre vous permet de juger si votre situation est banale ou pr\u00e9occupante.<\/p>\n
Acc\u00e8s<\/h3>\n
Le compte racine est rattach\u00e9 \u00e0 l’adresse e-mail d’un ancien prestataire ou d’un salari\u00e9 parti. Le MFA n’est activ\u00e9 que sur certains comptes, jamais sur les comptes de service. Des identifiants d’administration sont partag\u00e9s entre plusieurs personnes. Des cl\u00e9s API tra\u00eenent dans du code, des fichiers de configuration ou des conversations WhatsApp. Le d\u00e9veloppeur freelance qui a livr\u00e9 le site en 2023 est toujours administrateur.<\/p>\n
Sauvegardes<\/h3>\n
Elles existent, mais personne n’a jamais tent\u00e9 de restaurer un serveur complet. Elles sont stock\u00e9es dans le m\u00eame compte et la m\u00eame r\u00e9gion que la production : un ransomware ou une erreur d’administration les chiffre ou les supprime en m\u00eame temps. La r\u00e9tention est de sept jours alors qu’une compromission met souvent plusieurs semaines \u00e0 \u00eatre d\u00e9tect\u00e9e.<\/p>\n
Configuration par d\u00e9faut<\/h3>\n
Un port SSH ou RDP ouvert sur tout Internet \u00ab pour d\u00e9panner \u00bb. Un espace de stockage en acc\u00e8s public parce qu’un export devait \u00eatre partag\u00e9 une fois. Le chiffrement d\u00e9sactiv\u00e9 sur une base de donn\u00e9es parce que l’option n’\u00e9tait pas coch\u00e9e par d\u00e9faut. Les journaux d’audit d\u00e9sactiv\u00e9s pour \u00e9conomiser quelques dizaines de dirhams par mois. Aucune de ces failles n’est sophistiqu\u00e9e. C’est pr\u00e9cis\u00e9ment pour cela qu’elles sont exploit\u00e9es.<\/p>\n
CNDP et h\u00e9bergement cloud : ce que dit la loi 09-08 sur les donn\u00e9es sensibles et le transfert<\/h2>\n
D\u00e8s que votre cloud h\u00e9berge des donn\u00e9es de clients, de salari\u00e9s ou de prospects, vous \u00eates responsable de traitement au sens de la loi 09-08, et votre h\u00e9bergeur est un sous-traitant. Trois points concernent directement l’audit.<\/p>\n
D’abord, la localisation. Un h\u00e9bergement dans une r\u00e9gion situ\u00e9e hors du Maroc constitue un transfert de donn\u00e9es vers l’\u00e9tranger, encadr\u00e9 par la loi et soumis, sauf exceptions, \u00e0 une autorisation de la CNDP. Beaucoup de PME ont choisi une r\u00e9gion europ\u00e9enne par r\u00e9flexe, sans se poser la question. L’audit doit produire une cartographie claire : quelles donn\u00e9es, dans quel service, dans quel pays, y compris pour les sauvegardes et les r\u00e9plicas.<\/p>\n
Ensuite, la s\u00e9curit\u00e9. La loi impose au responsable de traitement de prendre des mesures techniques et organisationnelles appropri\u00e9es pour prot\u00e9ger les donn\u00e9es. Elle ne liste pas de mesures pr\u00e9cises : un rapport d’audit dat\u00e9, avec un plan de rem\u00e9diation suivi, est la mani\u00e8re la plus concr\u00e8te de d\u00e9montrer que vous avez fait le n\u00e9cessaire.<\/p>\n
Enfin, les contrats. Le contrat avec votre h\u00e9bergeur doit pr\u00e9ciser ses obligations de s\u00e9curit\u00e9, de confidentialit\u00e9 et de notification en cas d’incident. Les conditions g\u00e9n\u00e9rales d’un hyperscaler couvrent ces points de fa\u00e7on standardis\u00e9e ; celles d’un h\u00e9bergeur local ne le font pas toujours. Les donn\u00e9es dites sensibles (sant\u00e9, donn\u00e9es biom\u00e9triques, opinions, etc.) ob\u00e9issent \u00e0 un r\u00e9gime d’autorisation pr\u00e9alable plus strict. Les seuils et proc\u00e9dures \u00e9voluent : v\u00e9rifiez sur le site de la CNDP avant de vous engager, et servez-vous de notre checklist de conformit\u00e9 CNDP loi 09-08<\/a> pour la partie organisationnelle, que l’audit cloud ne couvre pas.<\/p>\n
Si vous fournissez un organisme public ou une infrastructure d’importance vitale, la loi 05-20 relative \u00e0 la cybers\u00e9curit\u00e9 et les exigences de la DGSSI peuvent aussi s’appliquer \u00e0 votre cha\u00eene de sous-traitance. Demandez \u00e0 votre donneur d’ordre ce qu’il attend pr\u00e9cis\u00e9ment.<\/p>\n
Cloud souverain ou hyperscaler : quel impact sur le p\u00e9rim\u00e8tre et le co\u00fbt de l’audit<\/h2>\n
Le choix de plateforme change la nature de l’audit plus que son prix. Chez un hyperscaler (AWS, Azure, Google Cloud, Oracle), la surface \u00e0 auditer est large : des dizaines de services, chacun avec ses param\u00e8tres. En contrepartie, les outils natifs de score de s\u00e9curit\u00e9, les r\u00e9f\u00e9rentiels CIS publi\u00e9s et les rapports de certification du fournisseur r\u00e9duisent le travail de l’auditeur. La partie \u00ab fournisseur \u00bb de l’audit se r\u00e9sume souvent \u00e0 lire les attestations existantes.<\/p>\n
Chez un h\u00e9bergeur marocain ou sur une offre souveraine (inwi, op\u00e9rateurs de datacenters locaux, r\u00e9gions marocaines annonc\u00e9es par certains hyperscalers), l’infrastructure ressemble davantage \u00e0 des machines virtuelles classiques. L’audit se rapproche d’un audit d’infrastructure traditionnel : syst\u00e8mes, r\u00e9seau, sauvegardes. Mais l’auditeur doit passer plus de temps sur le fournisseur lui-m\u00eame, car les rapports publics sont plus rares : certifications r\u00e9elles, engagements contractuels, proc\u00e9dures d’incident, s\u00e9curit\u00e9 physique.<\/p>\n
Le cas le plus co\u00fbteux est l’hybride : une partie chez un hyperscaler, une partie chez un h\u00e9bergeur local, un serveur historique dans un placard \u00e0 Casablanca. Chaque environnement a son r\u00e9f\u00e9rentiel, et les liaisons entre eux sont souvent le maillon faible. Si ce choix est encore devant vous, notre comparaison des offres de cloud souverain au Maroc<\/a> d\u00e9taille ce que chaque option implique en mati\u00e8re de localisation et de conformit\u00e9.<\/p>\n
Ce que vous pouvez v\u00e9rifier vous-m\u00eame avant de payer un audit<\/h2>\n
Deux heures avec votre responsable IT ou votre prestataire, un acc\u00e8s \u00e0 la console d’administration, et vous aurez d\u00e9j\u00e0 un diagnostic honn\u00eate. Faites ces v\u00e9rifications dans l’ordre :<\/p>\n
- \n
- Le compte racine.<\/strong> \u00c0 quelle adresse e-mail est-il rattach\u00e9 ? Qui conna\u00eet le mot de passe ? Le MFA est-il activ\u00e9 ? Si la r\u00e9ponse implique une personne qui ne travaille plus avec vous, arr\u00eatez-vous l\u00e0 : c’est votre priorit\u00e9.<\/li>\n
- La liste des administrateurs.<\/strong> Exportez tous les utilisateurs et r\u00f4les. Chaque nom doit correspondre \u00e0 une personne en poste, avec un besoin r\u00e9el. Supprimez le reste.<\/li>\n
- Le MFA g\u00e9n\u00e9ralis\u00e9.<\/strong> V\u00e9rifiez qu’il est obligatoire, pas seulement disponible, pour tous les comptes humains.<\/li>\n
- Le stockage public.<\/strong> Chaque console propose un filtre \u00ab acc\u00e8s public \u00bb. La liste doit \u00eatre vide ou justifi\u00e9e ligne par ligne.<\/li>\n
- Les ports ouverts.<\/strong> Cherchez les r\u00e8gles r\u00e9seau autorisant \u00ab 0.0.0.0\/0 \u00bb ou \u00ab Any \u00bb vers des ports d’administration (22, 3389, 3306, 1433, 5432).<\/li>\n
- Une vraie restauration.<\/strong> Restaurez une sauvegarde sur un serveur de test et chronom\u00e9trez. Si personne ne sait comment faire, vous n’avez pas de sauvegarde, vous avez de l’espoir.<\/li>\n
- La r\u00e9gion.<\/strong> Notez le pays de chaque ressource, sauvegardes comprises. Confrontez-le \u00e0 ce que vous avez d\u00e9clar\u00e9 \u00e0 la CNDP.<\/li>\n
- Le score de s\u00e9curit\u00e9 natif.<\/strong> Les hyperscalers affichent gratuitement un score et une liste de recommandations. Lisez-la avant l’auditeur : cela vous \u00e9vite de payer pour des constats \u00e9vidents.<\/li>\n<\/ol>\n
Ce que cette auto-v\u00e9rification ne remplace pas : l’analyse des interactions entre services, la revue des contrats, le test d’intrusion, et surtout le regard ext\u00e9rieur qu’un client ou un auditeur exigera.<\/p>\n
Comment choisir le bon prestataire et lire son rapport d’audit<\/h2>\n
Un bon prestataire commence par \u00e9crire le p\u00e9rim\u00e8tre avec vous : quels comptes, quels environnements, quel r\u00e9f\u00e9rentiel, quelles exclusions, quel livrable et pour quel lecteur. Il travaille avec des acc\u00e8s en lecture seule, qu’il vous demande de r\u00e9voquer \u00e0 la fin. Il cite ses sources (r\u00e9f\u00e9rentiel CIS, guide du fournisseur, exigence l\u00e9gale) pour chaque constat. Il distingue ce qui est critique de ce qui est cosm\u00e9tique, et il vous dit ce qui peut attendre.<\/p>\n
Quelques signaux qui doivent vous alerter :<\/p>\n
- \n
- L’audit est gratuit et se conclut par un devis de migration vers la plateforme que le prestataire revend.<\/li>\n
- Le rapport est l’export brut d’un outil de scan, sans priorisation ni explication.<\/li>\n
- Les constats n’ont pas de preuve : pas de capture, pas d’identifiant de ressource, pas de date.<\/li>\n
- La personne qui audite est celle qui a fait la migration, sans regard ext\u00e9rieur. Ce n’est pas r\u00e9dhibitoire dans une petite structure, mais demandez au moins qu’un autre membre de l’\u00e9quipe relise.<\/li>\n
- Le prestataire refuse de faire une restitution orale \u00e0 la direction.<\/li>\n<\/ul>\n
\u00c0 la lecture du rapport, concentrez-vous sur trois questions : quels constats un attaquant exploiterait-il en premier, quels constats un client ou la CNDP verrait-ils en premier, et combien co\u00fbte la rem\u00e9diation de chacun. Si les r\u00e9ponses ne sont pas \u00e9videntes, le rapport n’est pas fini.<\/p>\n
Enfin, si l’audit r\u00e9v\u00e8le que le probl\u00e8me d\u00e9passe le cloud (processus, outils m\u00e9tiers, donn\u00e9es), il est souvent plus rentable d’\u00e9largir la d\u00e9marche. Notre article sur le prix d’un audit de transformation digitale au Maroc<\/a> d\u00e9taille ce format plus large et ce qu’il co\u00fbte.<\/p>\n
Et maintenant ?<\/h2>\n
Arrowlancer accompagne les PME marocaines sur l’ensemble de la cha\u00eene cloud et infrastructure : migration, h\u00e9bergement souverain ou hyperscaler, et s\u00e9curisation de ce qui est d\u00e9j\u00e0 en place, avec un rapport lisible par votre direction comme par vos clients. Vous trouverez le d\u00e9tail de nos services cloud et infrastructure<\/a> sur le site.<\/p>\n
- La liste des administrateurs.<\/strong> Exportez tous les utilisateurs et r\u00f4les. Chaque nom doit correspondre \u00e0 une personne en poste, avec un besoin r\u00e9el. Supprimez le reste.<\/li>\n
- Audit complet (8 \u00e0 15 jours)<\/strong> : 40 000 \u00e0 90 000 MAD. Les six blocs ci-dessus, entretiens avec l’\u00e9quipe IT et le prestataire, revue des contrats, cartographie des donn\u00e9es, plan de rem\u00e9diation d\u00e9taill\u00e9.<\/li>\n
- Configuration des services<\/strong> : stockage expos\u00e9 publiquement, chiffrement au repos et en transit, versions des syst\u00e8mes, param\u00e8tres laiss\u00e9s par d\u00e9faut.<\/li>\n