Des solutions IT
pour un monde
plus performant
Des solutions IT
pour un monde
plus performant
Un test d’intrusion identifie vos failles avant que les attaquants ne le fassent. C’est sa promesse. Mais un pentest mal cadré, non suivi d’un plan de remédiation, ou déconnecté de votre stratégie cyber globale, ne vaut pas grand-chose. Voici ce que vous devez savoir avant de commander le vôtre.
Un test d’intrusion, ou pentest (de l’anglais penetration testing), consiste à mandater des experts en sécurité pour attaquer vos systèmes de manière contrôlée. L’objectif : reproduire le comportement d’un attaquant réel et identifier les chemins d’accès exploitables avant qu’un acteur malveillant ne les emprunte.
Contrairement à une surveillance continue, le pentest est une intervention ponctuelle, délimitée dans le temps et dans le périmètre. Il produit un rapport de vulnérabilités classées par criticité, accompagné de recommandations de correction.
À noter : un pentest ne remplace pas une démarche de sécurité informatique globale. Il en est un jalon, pas une finalité.
Ces trois outils répondent à des niveaux de profondeur différents :
Scan de vulnérabilités : outil automatisé qui recense les failles connues sur vos actifs. Rapide, superficiel, non qualifié. Il ne dit pas si une vulnérabilité est réellement exploitable dans votre contexte.
Audit de sécurité : examen organisationnel et technique de votre SI. Il évalue vos pratiques, vos configurations, votre conformité. Il ne va pas jusqu’à l’exploitation des failles.
Test d’intrusion : simulation d’attaque réelle. Un expert humain cherche activement à compromettre vos systèmes. C’est l’outil qui produit les résultats les plus représentatifs d’un risque concret.
À savoir : Un scan de vulnérabilités mal interprété peut donner un faux sentiment de sécurité. La liste des CVE détectées n’a de valeur que si elle est contextualisée et associée à un plan de correction. C’est précisément là que beaucoup d’entreprises s’arrêtent trop tôt.
L’auditeur ne dispose d’aucune information préalable sur votre infrastructure. Il part du même point qu’un attaquant externe : une adresse IP ou un nom de domaine, et rien de plus.
Avantage : reproduit fidèlement un scénario d’attaque externe.
Limite : la durée nécessaire à la phase de reconnaissance peut réduire le temps consacré à l’exploitation réelle. Le rapport coût/profondeur est moins favorable.
L’auditeur dispose d’un accès partiel : un compte utilisateur standard, une documentation technique limitée. Ce format simule un attaquant interne ou un prestataire ayant un accès légitime restreint.
Avantage : meilleur ratio entre réalisme et profondeur d’analyse. C’est le format le plus fréquemment recommandé pour les PME et ETI.
L’auditeur accède à l’ensemble de la documentation : architecture réseau, code source, configurations, comptes privilégiés. L’objectif n’est pas de tester la détection, mais d’analyser en profondeur la robustesse du système.
Avantage : couverture maximale, idéal pour les applications critiques ou les environnements à fort enjeu de conformité.
Limite : moins représentatif d’un scénario d’attaque réaliste.
Un test externe cible ce qui est exposé sur internet : applications web, VPN, messagerie, portails d’accès distant. Un test interne simule un attaquant qui a déjà pénétré votre réseau, qu’il s’agisse d’un collaborateur malveillant, d’un poste compromis ou d’un rebond après une première intrusion.
Les deux sont complémentaires. Dans la plupart des cas, débuter par un test externe permet de cartographier votre exposition réelle avant d’approfondir les risques internes.
Les attaquants ne cherchent pas forcément la faille technique la plus sophistiquée. Ils cherchent le chemin de moindre résistance : un accès VPN non patché, un compte de service avec des droits excessifs, une application métier oubliée exposée sur internet.
Un pentest conduit par des experts reproduit exactement cette logique. Il révèle les enchaînements de vulnérabilités qui, seuls, semblent anodins, mais combinés, ouvrent la porte à une compromission complète de votre SI. C’est ce qu’on appelle un kill chain : la chaîne d’exploitation qui mène de l’accès initial à la prise de contrôle.
À savoir : Les tests d’intrusion révèlent régulièrement que des systèmes considérés comme « à faible risque » constituent en réalité des points de pivot critiques vers des actifs sensibles. La segmentation réseau et la gestion des droits d’accès sont parmi les premières causes de compromission interne identifiées.
Les exigences se durcissent. NIS2, ISO 27001, DORA pour les acteurs financiers, et désormais les questionnaires des assureurs cyber : tous demandent des preuves tangibles de vos tests de sécurité. Un rapport de pentest récent est l’un des éléments les plus demandés lors d’une souscription ou d’un renouvellement de cyber-assurance.
Certaines certifications et labels (HDS pour les hébergeurs de données de santé, par exemple) imposent des tests d’intrusion réguliers dans leur référentiel. Ne pas les avoir réalisés expose à des risques contractuels et réglementaires concrets.
Votre entreprise a investi dans un pare-feu nouvelle génération, un EDR, peut-être un SOC. Ces dispositifs sont-ils correctement configurés ? Couvrent-ils réellement les vecteurs d’attaque auxquels vous êtes exposé ?
Un pentest teste les outils, pas seulement les systèmes. Il vérifie que vos défenses tiennent face à une attaque réelle, et non dans les conditions idéales de leur déploiement initial. C’est une forme de contrôle qualité de votre posture de sécurité
Il n’existe pas de fréquence universelle, mais plusieurs déclencheurs doivent guider votre calendrier :
Annuellement, a minima, pour les entreprises traitant des données sensibles ou soumises à des obligations réglementaires.
Après chaque changement majeur : migration cloud, refonte d’application, déploiement d’une nouvelle infrastructure, ouverture d’un accès externe.
Avant une mise en production critique : une application métier exposée sur internet doit être testée avant son lancement, pas après.
Après un incident de sécurité : pour s’assurer que le vecteur d’attaque a bien été neutralisé et qu’aucune porte dérobée ne subsiste.
Un pentest annuel sur un périmètre figé n’a de valeur que s’il est articulé avec une surveillance continue. C’est là qu’intervient le Maintien en Conditions de Sécurité (MCS), qui assure entre les tests que votre niveau de protection ne se dégrade pas.
C’est l’étape la plus critique et la plus souvent bâclée. Le cadrage définit ce qui est autorisé à tester, ce qui est exclu, les plages horaires d’intervention, les coordonnées d’urgence, et les règles d’engagement en cas de découverte d’une vulnérabilité critique en cours de test.
Un périmètre mal défini produit deux types d’échecs : un pentest trop large qui dilue l’effort sur des cibles secondaires, ou un périmètre trop restreint qui manque les vraies expositions. Exiger un document de cadrage détaillé est le premier critère de sélection d’un prestataire sérieux.
L’auditeur collecte des informations sur votre infrastructure sans encore attaquer. Sources OSINT (informations publiques), analyse des certificats SSL, cartographie des services exposés, identification des technologies utilisées. Cette phase renseigne sur ce qu’un attaquant peut apprendre sur vous sans avoir encore franchi un seul contrôle de sécurité.
Ce que révèle cette étape est souvent suffisant pour mesurer votre exposition réelle.
L’auditeur tente d’exploiter les failles identifiées : injection SQL, authentification contournable, escalade de privilèges, mouvement latéral. L’objectif n’est pas seulement de démontrer qu’une faille existe, mais d’aller aussi loin que possible dans la chaîne d’exploitation pour mesurer l’impact réel d’une compromission.
Un pentest sérieux documente chaque étape avec des preuves : captures d’écran, logs, requêtes HTTP. Cette documentation est indispensable pour la correction et pour justifier les priorités du plan de remédiation.
Le livrable final ne se limite pas à une liste de vulnérabilités. Un bon rapport de pentest inclut :
À savoir : Un pentest sans plan de remédiation suivi est une dépense inutile. La valeur n’est pas dans le rapport, elle est dans les corrections effectivement apportées. Nos équipes techniques peuvent accompagner la phase de remédiation et valider les corrections par un test de revalidation ciblé.
L’articulation avec votre analyse de risques informatiques et votre PSSI permet ensuite d’inscrire les résultats dans une démarche durable.
Le marché du pentest est hétérogène. Entre les outils automatisés rebaptisés « pentest », les prestataires qui sous-traitent à l’étranger sans cadrage sérieux, et les cabinets spécialisés certifiés PASSI (Prestataire d’Audit de Sécurité des Systèmes d’Information, qualification ANSSI), les écarts de qualité sont considérables.
Quelques critères concrets pour évaluer un prestataire :
Certification PASSI : qualification délivrée par l’ANSSI, gage de rigueur méthodologique. Obligatoire pour les OIV et recommandée pour toute entreprise souhaitant un niveau de confiance élevé.
Qualité du cadrage proposé : un prestataire sérieux vous demande un contrat d’autorisation détaillé avant toute intervention. S’il commence à tester sans ce document, fuyez.
Revalidation incluse : vérifiez si les corrections apportées font l’objet d’un test de revalidation dans le périmètre de la prestation.
Connaissance de votre secteur : les risques d’une ETI industrielle ne sont pas ceux d’un cabinet d’avocats ou d’une fintech. L’expérience sectorielle du prestataire conditionne la pertinence de ses scénarios d’attaque.
Enfin, méfiez-vous du pentest vendu comme une case à cocher pour votre assurance. Un test d’intrusion bien cadré, intégré à une stratégie de sécurité globale, est un outil de pilotage. Un pentest mal conduit, c’est une fausse assurance qui peut coûter bien plus cher qu’il n’y paraît.
Avec plus de 20 ans d’expérience aux côtés des PME et ETI, nos équipes techniques accompagnent vos projets de sécurité de l’audit initial jusqu’à la remédiation, dans une démarche transparente et orientée résultats.