Le pentest, ou test d’intrusion, cherche à évaluer des possibilités d’attaque sur un périmètre autorisé. Il complète les autres contrôles de sécurité. Le résultat dépend des accès fournis, du temps accordé, des compétences mobilisées et des limites convenues. Une absence de faille détectée ne démontre pas l’absence de toute vulnérabilité.
Quand le commander ?
Il devient particulièrement utile lorsqu’un service exposé doit être évalué, après des changements importants ou pour vérifier un scénario critique. Il n’est pas toujours nécessaire d’attendre une maturité parfaite : le besoin et l’exposition déterminent le moment. En revanche, ne consacrez pas tout le budget de sécurité au test en oubliant les corrections et les protections de base.
Le référentiel PASSI présente plusieurs modes, dont les tests avec des niveaux d’information et d’accès différents : boîte noire, grise ou blanche 2. Demandez au prestataire de justifier le choix au regard de votre objectif.
Comment utiliser PTES dans le cahier des charges ?
La structure historique du Penetration Testing Execution Standard organise le travail en sept phases 1 :
- Préparation de la mission : objectifs, périmètre, autorisations et règles d’engagement.
- Collecte d’informations : comprendre la cible et son exposition dans les limites convenues.
- Modélisation des menaces : relier les scénarios aux actifs et enjeux métier.
- Analyse des vulnérabilités : identifier et vérifier les faiblesses pertinentes.
- Exploitation : démontrer des possibilités d’attaque autorisées, avec maîtrise des impacts.
- Post-exploitation : évaluer les conséquences accessibles dans le cadre fixé.
- Rapport : expliquer les résultats, les preuves, les limites et les corrections proposées.
Demandez comment chaque phase sera couverte dans votre mission. La mention PTES ne constitue pas, à elle seule, une certification du prestataire ni une garantie de qualité.
Les conditions à fixer avant le premier test
Faites formaliser l’autorisation écrite par les parties habilitées, les cibles et leurs propriétaires, les horaires, les techniques exclues, le contact d’urgence et les conditions d’arrêt. Les systèmes de tiers et services cloud nécessitent la vérification de leurs règles et autorisations. Prévoyez aussi la protection des preuves, la transmission du rapport et leur suppression à l’issue de la conservation convenue.
Le contrat doit préciser ce qui est réellement compris. Par exemple, une application avec plusieurs rôles utilisateurs demande un périmètre différent d’une simple adresse publique. Faites évaluer le besoin plutôt que de comparer uniquement un prix « par IP ».
Le rapport doit déclencher un travail
Exigez une synthèse compréhensible par la direction et des détails exploitables par les techniciens. Pour chaque point important : impact métier, preuve proportionnée, conditions nécessaires et correction proposée. Faites chiffrer séparément les corrections et le nouveau test, appelé retest, qui vérifiera leur efficacité sur les points concernés.
Par qui, et à quel coût ?
Choisissez un prestataire spécialisé, avec compétences, assurance et méthode adaptées. Simulation de périmètre limité : six jours à 900 € HT donnent 5 400 € HT ; une journée de retest ajouterait 900 € HT si elle n’est pas incluse. Ces hypothèses ne sont pas des tarifs constatés. Une mission complexe peut nécessiter beaucoup plus de temps.
Votre prochaine action
Écrivez trois lignes : ce que vous voulez protéger, le scénario à évaluer et le livrable attendu. Faites ensuite cadrer la mission et réservez une capacité de correction. C’est cette chaîne complète qui donne de la valeur au pentest.