Due diligence cyber avant une levée de fonds : ce que les investisseurs vérifient

Une due diligence cyber ne cherche pas une entreprise sans risque. Elle cherche une entreprise qui connaît ses risques, les pilote et peut le prouver avec des documents datés.

Les points contrôlés

Gouvernance

• Qui porte la sécurité, avec quel mandat et quel temps alloué.
• PSSI validée par la direction, comptes rendus de comité.
• Registre des risques à jour, avec propriétaires et échéances.

Contrôles techniques

• MFA sur la messagerie, le cloud et les accès administrateur.
• Sauvegardes hors ligne et dernier test de restauration.
• Gestion des vulnérabilités et dernier test d’intrusion, avec suivi des corrections.
• Configuration des environnements cloud et gestion des secrets.

Données et tiers

• Registre des traitements RGPD et contrats de sous-traitance.
• Liste des prestataires critiques et leurs engagements de sécurité.
• Usages de l’IA : quels outils, quelles données envoyées, quelles garanties contractuelles.

Historique

• Incidents des trois dernières années et actions correctives.
• Couverture d’assurance cyber et exclusions.
• Certifications ou attestations : ISO 27001, SOC 2, avec leur périmètre exact.

Préparer en six semaines

1. Rassembler les preuves existantes et identifier les trous.
2. Traiter les écarts visibles en priorité : MFA, sauvegardes, comptes orphelins.
3. Rédiger une note de synthèse de deux pages sur la posture et la feuille de route.
4. Préparer les réponses aux questions probables avec des références aux documents.

Un écart documenté avec un plan daté inquiète moins un investisseur qu'une absence de réponse.