Glossary
Test d'intrusion (pentest)
Audit offensif où un consultant simule une attaque sur votre infrastructure, dans un cadre contractuel, pour identifier les vulnérabilités exploitables.
Un test d'intrusion — pentest — est l'inverse d'un audit conformité. Au lieu de vérifier qu'un contrôle existe, le consultant essaie activement de le contourner. L'objectif est de trouver les vulnérabilités exploitables avant qu'un attaquant ne les trouve.
Les types de pentest courants : pentest externe (perimètre internet, sites publics), pentest interne (depuis un poste de votre réseau), pentest applicatif (votre site web ou votre app), red team (campagne de plusieurs semaines simulant un attaquant réel). Le choix dépend de votre exposition et de vos obligations.
Une PME française type devrait faire un pentest externe + applicatif tous les 12 à 24 mois. Les clients B2B grands comptes en demandent souvent un récent (< 12 mois) en due diligence. Le livrable : un rapport exécutif (1 page), un rapport technique (typiquement 25–50 pages), un plan de remédiation priorisé, et idéalement un re-test inclus si vous corrigez dans les 90 jours.