Test d’intrusion (pentest)
Vérifier que vos portes sont bien fermées, avant qu’un autre ne le fasse
Avec votre accord, nous essayons d’entrer dans votre informatique comme le ferait un pirate, mais sans rien abîmer : votre réseau, votre site web ou vos accès à distance. C’est ce qu’on appelle un test d’intrusion. Vous savez ensuite exactement quelles portes étaient ouvertes, et comment les fermer.
Vos outils de sécurité fonctionnent-ils vraiment ensemble ?
Vous avez un pare-feu, un antivirus, des mots de passe, peut-être une double authentification. Sur le papier, tout est en place. Mais une protection ne vaut que par son maillon le plus faible, et ce maillon est rarement celui auquel on pense.
Les dirigeants qui nous sollicitent pour un pentest sont souvent dans l’une de ces situations :
- Vous venez de mettre en ligne un nouveau site, un portail client ou une application, et vous voulez être sûr qu’il est solide.
- Un client ou un donneur d’ordre exige un rapport de test d’intrusion récent.
- Votre prestataire vous assure que tout est sécurisé, et vous aimeriez une vérification indépendante.
- Vous avez corrigé les points d’un audit et vous voulez vérifier que les corrections tiennent.
- Votre réseau a grandi au fil des années, avec des ajouts successifs que plus personne ne maîtrise complètement.
Le test d’intrusion répond à une question que ni un inventaire ni un questionnaire ne peuvent trancher : un attaquant pourrait-il, concrètement, entrer et aller jusqu’à vos données ? Mieux vaut le découvrir dans un cadre maîtrisé, avec un rapport et des solutions à la clé.
Ce que nous faisons
Nous choisissons avec vous le type de test le plus utile. Chaque test se déroule dans un cadre écrit : périmètre, dates, horaires, contacts d’urgence.
Test d’intrusion externe
Nous attaquons depuis Internet, comme n’importe quel inconnu : site web, messagerie, accès à distance, services exposés. C’est souvent le meilleur point de départ pour une PME.
Test d’intrusion interne
Nous partons d’un poste branché sur votre réseau, comme un visiteur, un prestataire ou un ordinateur infecté par un email piégé. Nous mesurons jusqu’où il est possible d’aller, notamment vers votre annuaire Active Directory.
Test d’application web
Nous testons votre site marchand, votre extranet ou votre portail client : authentification, gestion des sessions, cloisonnement des données entre clients, formulaires.
Test du réseau Wi-Fi
Nous vérifions que votre Wi-Fi invité est bien séparé de votre réseau interne et que votre Wi-Fi professionnel résiste aux techniques courantes.
Boîte noire ou boîte grise
En boîte noire, nous partons sans aucune information, comme un attaquant extérieur. En boîte grise, vous nous fournissez un accès utilisateur standard, ce qui permet de tester ce que pourrait faire un compte de salarié compromis. La boîte grise est souvent plus rentable pour une PME : elle couvre plus de terrain en moins de temps.
Avant un test d’intrusion, un audit de cybersécurité est souvent utile pour corriger d’abord les faiblesses évidentes. Le pentest prend alors toute sa valeur.
Comment ça se passe
1
Le cadrage et l’autorisation
Nous définissons le périmètre, le type de test, les dates et les horaires. Vous signez une autorisation écrite : sans elle, un test d’intrusion n’est pas légal.
2
Le test
Nous menons les attaques prévues, de façon progressive et contrôlée. En cas de découverte critique, nous vous prévenons sans attendre la fin du test.
3
Le rapport
Chaque faille est décrite, démontrée, classée par gravité et accompagnée d’une recommandation de correction concrète.
4
La restitution
Nous présentons les résultats à la direction et à votre prestataire, en distinguant l’urgent de l’important.
5
Le contre-test
Une fois les corrections faites, nous vérifions qu’elles fonctionnent réellement. Les conditions du contre-test sont précisées dans le devis.
La durée d’un test dépend du périmètre : comptez [durée indicative À VALIDER] de tests pour un périmètre externe de PME, hors rédaction du rapport.
Ce que vous obtenez
- Une synthèse non technique pour la direction : niveau de risque, principales failles, priorités.
- Un rapport technique détaillé, avec les preuves et les étapes pour reproduire chaque faille.
- Des recommandations de correction concrètes, adaptées à vos outils et à vos moyens.
- Une réunion de restitution avec la direction et votre prestataire.
- Un contre-test pour vérifier les corrections.
- Un document à présenter à vos clients, donneurs d’ordre ou assureurs.
Tarif indicatif
À partir de [montant À VALIDER] HT
Le prix dépend du type de test, de la taille du périmètre (nombre d’adresses exposées, d’applications, de sites) et du niveau de profondeur souhaité. Nous vous remettons un devis précis après le cadrage.
Pour qui ?
Le test d’intrusion s’adresse aux entreprises qui ont déjà une base de sécurité et veulent la mettre à l’épreuve, ou qui doivent en apporter la preuve.
- Les PME industrielles soumises aux exigences de leurs donneurs d’ordre ou exposant des accès à distance pour la maintenance de leurs machines.
- Les commerces qui vendent en ligne et doivent protéger les données de leurs clients.
- Les structures de santé qui proposent un portail patient ou partagent des données avec des partenaires.
- Les entreprises concernées par DORA, qui impose des tests réguliers de résilience au secteur financier et à certains de ses prestataires.
Un pentest est une photographie à un instant donné. Pour rester protégé ensuite, il se complète par une surveillance continue avec le SOC managé et par un pilotage dans la durée avec un RSSI externalisé, ou au sein de l’offre Iris Watch.
Nous réalisons des tests pour des entreprises de la métropole lilloise, de La Bassée et de l’Arrageois. Les tests externes peuvent se faire entièrement à distance, partout en France.
Questions fréquentes sur le test d’intrusion PME
Un test d’intrusion risque-t-il de casser mon informatique ?
Le risque est faible et maîtrisé. Nous évitons les techniques destructrices, nous définissons des horaires adaptés et nous gardons un contact direct avec vous pendant le test. Si un système est fragile, nous le traitons avec une prudence particulière ou nous l’excluons du périmètre.
Est-ce légal de faire attaquer son propre système ?
Oui, dès lors que vous êtes propriétaire du système ou que vous avez l’accord de son propriétaire, et qu’une autorisation écrite encadre le test. Si votre site est hébergé chez un prestataire, nous vérifions avec vous ses conditions avant de commencer.
Quelle différence avec un audit de cybersécurité ?
L’audit dresse un état des lieux large de votre organisation et de vos configurations. Le pentest va en profondeur et prouve qu’une faille est exploitable. Notre page audit de cybersécurité détaille les trois volets de l’audit.
Faut-il prévenir les salariés ?
Ce n’est généralement pas nécessaire pour un test technique. Nous recommandons de prévenir la direction, la personne qui gère l’informatique et votre prestataire, afin qu’une alerte déclenchée par le test ne soit pas prise pour une vraie attaque.
À quelle fréquence faut-il faire un pentest ?
Une fois par an est un rythme courant, ainsi qu’après chaque changement important : nouvelle application, refonte du site, nouvel accès à distance. Certains clients ou réglementations imposent leur propre fréquence.
Qui a accès aux résultats ?
Uniquement vous et les personnes que vous désignez. Le rapport contient des informations sensibles : nous le transmettons de façon sécurisée et nous ne conservons les données du test que le temps nécessaire.
Et si vous découvrez que quelqu’un est déjà entré ?
Nous arrêtons le test, nous vous prévenons immédiatement et nous vous aidons à réagir. Notre page urgence cyberattaque et l’article entreprise piratée : que faire décrivent les premiers gestes.
Mettez votre sécurité à l’épreuve, en toute sérénité
Nous définissons ensemble le test le plus utile pour votre entreprise, dans un cadre écrit et maîtrisé.
Ou appelez-nous au 06 30 39 95 06.