Test d'intrusion ou audit de sécurité : que choisir ?

« Faut-il faire un test d'intrusion ? » La question revient souvent dans les PME, poussée par un client, un assureur ou une actualité inquiétante. Un test d'intrusion (pentest) n'est pourtant qu'un des outils pour évaluer sa sécurité, et pas toujours le premier à utiliser.

Audit de sécurité, scan de vulnérabilités et test d'intrusion répondent à des questions différentes. Les distinguer permet de dépenser au bon endroit et de recevoir un rapport que l'entreprise peut réellement exploiter.

Test d'intrusion, audit, scan : quelles différences ?

Le scan de vulnérabilités est automatique : un outil passe en revue les équipements et signale les versions vulnérables et les configurations connues comme faibles. Il se répète régulièrement, mais produit des faux positifs et ne dit pas si une faille est réellement exploitable.

L'audit de sécurité compare l'organisation et la configuration à un référentiel, comme les CIS Controls ou le NIST Cybersecurity Framework : comptes administrateurs, sauvegardes, mises à jour, double authentification, procédures. Le test d'intrusion, lui, est mené par des spécialistes qui tentent d'entrer comme le ferait un attaquant, dans un périmètre et un temps donnés.

Quand faire un test d'intrusion en PME ?

Pour la plupart des PME, l'audit et le scan viennent d'abord : un test d'intrusion mené sur un environnement sans double authentification ni correctifs récents trouvera surtout des failles déjà connues, à un coût plus élevé. Le test d'intrusion devient pertinent dans les cas suivants.

• Vous exposez une application web ou un portail client sur Internet.
• Un client, un partenaire ou un appel d'offres l'exige.
• Après un changement important : nouveau pare-feu, migration, nouvelle application.
• Pour vérifier que les mesures prises après un audit tiennent face à une tentative réelle.

Définir le périmètre d'un test d'intrusion

Le périmètre se fixe par écrit avant le début : adresses IP et domaines concernés, applications, comptes Microsoft 365, réseau interne, Wi-Fi, éventuellement l'ingénierie sociale. Il précise aussi les dates, les horaires, les actions exclues (par exemple tout ce qui pourrait interrompre la production) et un contact joignable en cas de problème.

Le testeur peut partir sans aucune information (boîte noire) ou avec un compte utilisateur ordinaire (boîte grise), ce qui simule un poste compromis et donne souvent plus de résultats utiles pour le même budget.

L'autorisation écrite de l'entreprise est indispensable : sans elle, tenter de pénétrer un système informatique est une infraction pénale en Suisse. Si une partie de l'infrastructure est hébergée chez un tiers, son accord peut aussi être nécessaire.

Que contient un bon rapport, et quelles suites donner ?

Un rapport utile contient une synthèse lisible par la direction, puis chaque constat avec sa gravité, la façon de le reproduire et une recommandation concrète. Méfiez-vous d'un rapport qui n'est qu'une liste exportée d'un outil automatique : c'est un scan, pas un test d'intrusion.

• Classer les constats par gravité et par exposition, et corriger d'abord ce qui est accessible depuis Internet.
• Attribuer chaque correction à une personne, avec une date.
• Prévoir un contre-test pour vérifier que les failles sont bien fermées.
• Conserver le rapport en lieu sûr : il décrit précisément comment entrer chez vous.

Comment SysPros aide

SysPros s'appuie sur les référentiels CIS et NIST pour sécuriser les environnements qu'elle gère. Pour un test d'intrusion, nous recommandons un prestataire indépendant de celui qui administre le système : nous pouvons préparer le périmètre avec lui, puis mettre en œuvre les corrections que vous décidez et suivre le contre-test.