Test d’intrusion pour une PME : à quoi ça sert, comment ça se passe

Un test d’intrusion, ou pentest, consiste à attaquer votre informatique pour de vrai, mais avec votre accord, dans un cadre écrit et avec des précautions pour ne rien perturber. Le but n’est pas de faire peur : c’est de découvrir les failles avant qu’un attaquant ne le fasse, et de savoir précisément comment les corriger.

Beaucoup de dirigeants de PME pensent que ce type de test est réservé aux grandes entreprises. Ce n’est plus le cas : les attaques visent aujourd’hui toutes les tailles de structures, et vos clients ou votre assureur peuvent vous demander d’en apporter la preuve. Et il n’est pas nécessaire de commencer par là : beaucoup de nos clients commencent par une question plus simple, « que voit un pirate quand il regarde notre entreprise sur Internet ? ». Voici comment s’y retrouver.

Audit de surface externe, audit, test d’intrusion : quelle différence ?

Ces prestations sont souvent confondues. Elles ne répondent pas à la même question, et elles se complètent.

• L’audit de la surface d’attaque externe regarde votre entreprise comme le ferait un pirate qui la repère sur Internet : site, messagerie, accès à distance, noms de domaine, services oubliés. Un scan de vulnérabilités repère les versions dépassées et les failles connues, puis les résultats sont triés à la main. Rien n’est attaqué : l’audit montre ce qui est exposé et fragile, sans chercher à entrer. Notre test gratuit de sécurité de site en donne un tout premier aperçu, pour votre site seulement.
• L’audit de sécurité fait le tour de votre organisation : comptes, droits, sauvegardes, réseau, messagerie. Il répond à la question « où en sommes-nous ? ».
• Le test d’intrusion va en profondeur sur un périmètre précis et tente réellement d’entrer, depuis Internet (test externe) ou depuis votre réseau (test interne), sans information au départ (boîte noire) ou avec un compte utilisateur (boîte grise). Il répond à la question « un attaquant pourrait-il, concrètement, aller jusqu’à nos données ? ».

En pratique, c’est souvent par là que tout commence : l’audit de surface externe est la porte d’entrée la plus simple. C’est rapide à cadrer, cela ne touche à rien chez vous, et le résultat parle tout de suite à la direction. Le test d’intrusion externe va ensuite plus loin sur les mêmes points d’entrée, en essayant de les franchir. On corrige d’abord les faiblesses évidentes, puis on vérifie que l’ensemble résiste.

Une PME a-t-elle vraiment besoin d’un test d’intrusion ?

Pas forcément tout de suite. En revanche, il devient très utile dans ces situations :

• vous mettez en ligne un site marchand, un portail client ou une application qui manipule des données ;
• un client, un donneur d’ordre ou un appel d’offres exige un rapport de test récent ;
• votre assureur pose des questions précises sur votre niveau de sécurité ;
• votre prestataire vous assure que tout est sécurisé et vous voulez une vérification indépendante ;
• vous avez corrigé les points d’un audit et vous voulez vérifier que les corrections tiennent ;
• votre entreprise relève de DORA ou travaille pour le secteur financier, qui impose des tests réguliers.

À l’inverse, si vous n’avez encore jamais rien fait vérifier, ou si les bases ne sont pas en place (sauvegardes, mises à jour, double authentification), un test d’intrusion trouvera surtout des évidences. Mieux vaut alors commencer par un audit de la surface externe, pour voir ce qu’un pirate voit de vous, ou par un audit plus complet : vous dépenserez moins, et le test prendra ensuite toute sa valeur.

Les différents types de tests

On choisit le type de test selon ce que l’on veut vérifier. Ils se combinent souvent.

• Le test externe : depuis Internet, comme n’importe quel inconnu. Nous testons ce que votre entreprise expose : site, messagerie, accès à distance de vos salariés, services ouverts par erreur. Parmi les tests d’intrusion, c’est souvent le premier, après un audit de la surface externe.
• Le test interne : depuis un poste branché sur votre réseau, comme un attaquant déjà entré par un e-mail piégé. La question devient : jusqu’où pourrait-il aller ? Le chemin mène souvent à l’Active Directory, l’annuaire qui gère vos comptes.
• Le test d’application web : votre boutique, votre extranet ou votre portail client, avec l’authentification, les sessions et le cloisonnement entre clients. C’est notre test d’intrusion de site web.
• Le test du Wi-Fi : le Wi-Fi invité est-il bien séparé de votre réseau, et le Wi-Fi professionnel résiste-t-il aux techniques courantes ?

Le test peut se faire en boîte noire, sans aucune information au départ, ou en boîte grise, avec un compte utilisateur ordinaire. La boîte grise est souvent plus rentable : elle couvre plus de terrain en moins de temps et montre ce que pourrait faire un compte de salarié piraté.

Comment se déroule un test d’intrusion

• Le cadrage et l’autorisation : périmètre, type de test, dates, horaires, contacts d’urgence. Vous signez une autorisation écrite : sans elle, un test d’intrusion n’est pas légal.
• Le test : les attaques prévues, menées de façon progressive et contrôlée. En cas de découverte critique, vous êtes prévenu sans attendre la fin du test.
• Le rapport : chaque faille est décrite, démontrée, classée par gravité et accompagnée d’une correction concrète, avec une synthèse claire pour la direction.
• La restitution : les résultats présentés de vive voix à la direction et à votre prestataire, en distinguant l’urgent de l’important.
• Le contre-test : une fois les corrections faites, on vérifie qu’elles fonctionnent réellement.

Votre prestataire informatique gagne à être prévenu et associé : il connaît votre installation, il pourra appliquer les corrections, et il ne prendra pas le test pour une vraie attaque.

Ce qui fait varier le prix d’un test d’intrusion

Il n’existe pas de prix unique, car deux tests n’ont jamais le même périmètre. Cinq éléments font varier le devis :

• le type de test : externe, interne, application web, Wi-Fi, ou plusieurs à la fois ;
• la taille du périmètre : nombre d’adresses exposées sur Internet, de sites ou d’applications ;
• le mode de test : boîte noire ou boîte grise ;
• pour une application, le nombre de rôles à tester (client, gestionnaire, administrateur) ;
• le contre-test, pour vérifier les corrections.

Méfiez-vous des offres très basses : elles désignent souvent un simple scan automatique présenté comme un test d’intrusion. Demandez toujours ce qui sera vérifié à la main et un exemple de rapport anonymisé. Notre article sur le prix d’un audit de sécurité détaille la même logique.

Comment bien choisir son prestataire

Quelques questions simples permettent de comparer deux propositions :

• Qu’est-ce qui sera testé à la main, et qu’est-ce qui sera automatisé ?
• Le périmètre, les dates et les précautions sont-ils écrits noir sur blanc avant le test ?
• Le rapport contient-il une synthèse lisible par la direction, en plus du détail technique ?
• Un contre-test est-il prévu après vos corrections ?
• Le prestataire travaille-t-il avec votre prestataire informatique, plutôt qu’à sa place ?

Certains acheteurs publics et opérateurs régulés exigent un prestataire qualifié PASSI par l’ANSSI. Pour la grande majorité des entreprises, ce n’est pas nécessaire : un test mené par des spécialistes avec une méthode reconnue suffit. Vérifiez simplement ce que demandent votre contrat ou votre client. Notre guide pour choisir un prestataire en cybersécurité va plus loin.

Et après le test ?

Un test d’intrusion est une photographie à un instant donné. Une fois les failles corrigées, la sécurité se maintient dans la durée : une détection 24h/24 avec un SOC externalisé pour repérer les signaux anormaux, la réaction suivant votre contrat, et un pilotage régulier avec un RSSI externalisé pour suivre les priorités. Beaucoup d’entreprises refont un test une fois par an, ou après un changement important : nouveau site, nouvelle application, déménagement, rachat.

Pour en savoir plus sur notre façon de travailler, consultez notre page test d’intrusion.