« Il nous faudrait un audit de sécurité. » « Notre assureur demande un scan de vulnérabilités. » « Ce client exige un test d’intrusion. » Ces trois termes sont utilisés de façon interchangeable. Ils désignent pourtant trois exercices différents, qui répondent à trois questions différentes, à des coûts très différents.

L’essentiel

  • Le balayage mesure en largeur, le test d’intrusion démontre en profondeur, l’audit structure la gouvernance.
  • La confusion conduit à payer un « test d’intrusion » qui n’est qu’un balayage automatisé.
  • Pour une organisation qui part de loin : auditer, corriger, puis tester en profondeur.
  • Le livrable est ce que vous achetez réellement : exigez un exemple avant de signer.

Qu’est-ce qu’un balayage de vulnérabilités ?

C’est un exercice de largeur, qui répond à la question « quelles faiblesses connues sont présentes sur nos systèmes ? ». Un outil automatisé parcourt vos actifs et les compare à des bases de vulnérabilités connues. Rapide, peu coûteux, reproductible à volonté : c’est le thermomètre de votre parc.

Ses limites sont structurelles : il détecte, mais ne démontre pas. Il produit des faux positifs, failles signalées mais non exploitables dans votre contexte, et des faux négatifs, car il ne verra ni une logique applicative défaillante, ni un enchaînement de faiblesses, ni un défaut de configuration subtil.

Un balayage est un intrant de la gestion des vulnérabilités; il n’est pas une évaluation de sécurité en soi. C’est la confusion la plus fréquente, et celle qui fait payer le plus cher pour le moins de valeur.

Qu’est-ce qu’un test d’intrusion ?

C’est un exercice de profondeur, qui répond à « un attaquant compétent peut-il réellement nous compromettre, et jusqu’où ? ». Un professionnel reproduit, dans un cadre légal et contractuel strict, les techniques d’un attaquant réel : reconnaissance, exploitation, enchaînement de faiblesses, élévation de privilèges.

Il se mène selon des méthodologies documentées : le guide NIST SP 800-115 pour la démarche générale, les référentiels OWASP pour les applications web.

La valeur tient dans la démonstration : non pas « ce serveur présente la vulnérabilité X », mais « en exploitant X puis Y, nous avons accédé à votre base de données clients : voici la preuve, voici le chemin, voici comment le fermer ». C’est le seul exercice qui répond à la question que se posent réellement vos clients et votre assureur : que se passe-t-il si quelqu’un essaie vraiment ?

Un point de vocabulaire utile : le périmètre se négocie. Test externe, ce qu’un attaquant sur Internet peut atteindre; interne, ce qu’un poste compromis ou un employé malveillant peut faire; applicatif, votre site transactionnel ou votre portail client. En boîte noire sans information préalable, grise avec un compte utilisateur, ou blanche avec documentation complète.

Qu’est-ce qu’un audit de sécurité ?

C’est l’exercice qui répond à « nos pratiques et nos contrôles sont-ils à la hauteur d’un référentiel reconnu, et de nos obligations ? ». Il évalue l’organisation autant que la technique : politiques, gestion des accès et des départs, sauvegardes, gestion des incidents, conformité.

Le tout est confronté à un référentiel : l’ISO 27001, standard international de gestion de la sécurité de l’information; le cadre du NIST, organisé par fonctions (identifier, protéger, détecter, répondre, récupérer); les contrôles CIS; ou les exigences de la Loi 25 pour le volet renseignements personnels.

Nuance utile entre les deux grands référentiels : l’ISO 27001 est certifiable, elle vise un système de gestion documenté et auditable, ce que demandent souvent les grands donneurs d’ordres; le cadre du NIST est plus souple, bien adapté pour structurer la progression d’une PME sans viser la certification. Les deux se cartographient l’un sur l’autre, et sur la Loi 25.

Quel exercice pour quelle situation ?

Le tableau ci-dessous répond à la question telle qu’elle se pose réellement. La logique générale pour une organisation qui part de loin : auditer d’abord, corriger, puis tester en profondeur.

Votre situation L’exercice adapté Pourquoi
Jamais fait évaluer votre sécurité Audit ou diagnostic de posture Établir la carte avant de creuser : prioriser évite de payer un test pour se faire confirmer des évidences
Questionnaire d’assureur ou de client à remplir Analyse d’écarts ciblée Répondre factuellement, identifier les écarts bloquants, bâtir le plan de correction
Site transactionnel ou portail traitant des données clients Test d’intrusion applicatif La logique applicative ne se scanne pas, elle se teste manuellement
Infrastructure exposée (accès distants, serveurs) Test externe puis balayage récurrent Valider le périmètre comme un attaquant le voit, puis surveiller en continu
Après un changement majeur (migration, fusion, nouveau système de gestion) Test ciblé sur le nouveau périmètre Chaque changement majeur redistribue les risques
Programme déjà en place Test annuel, balayages mensuels, revue d’audit périodique Largeur en continu, profondeur périodique, gouvernance vérifiée

Un test d’intrusion sur un environnement jamais évalué produit un rapport accablant mais peu utile : on sait déjà qu’il tombera. Le test prend toute sa valeur pour valider un niveau de sécurité qu’on croit avoir atteint.

Que doit contenir un bon rapport ?

Cinq éléments, et leur absence est le meilleur signal d’alarme. Un sommaire exécutif en langage d’affaires, des constats démontrés avec leur preuve, des recommandations priorisées, le périmètre et la méthodologie explicites, et un retest des correctifs critiques.

Le livrable est ce que vous achetez réellement. Exigez, avant de signer, un exemple de rapport anonymisé.

  • Un sommaire exécutif en langage d’affaires : niveau de risque global, principaux constats, impacts concrets, lisible par un conseil d’administration et pas seulement par un informaticien.
  • Des constats démontrés : pour chaque faiblesse exploitée, la preuve, la cote de sévérité et l’impact métier contextualisé. Une même faille technique n’a pas la même gravité selon qu’elle expose votre site vitrine ou votre base de paie.
  • Des recommandations priorisées et actionnables, avec un ordre de mise en œuvre réaliste, pas une liste générique de deux cents lignes.
  • Le périmètre et la méthodologie explicites, référentiels suivis, dates, limites, pour que l’exercice soit opposable à un client, un assureur ou un auditeur.
  • Un retest des correctifs critiques, inclus ou clairement chiffré.

Les signaux d’alarme, à l’inverse : un « test d’intrusion » à prix anormalement bas dont le livrable est visiblement la sortie brute d’un outil; l’absence de méthodologie nommée; aucun sommaire exécutif; aucune preuve d’exploitation; ou un prestataire incapable de nommer les certifications individuelles de ses intervenants.

Comment justifier l’investissement ?

Sur quatre plans mesurables : l’accès aux contrats, l’assurance cyber, la conformité Loi 25 et le coût évité. Aucun des quatre ne relève de la précaution abstraite.

1. L’accès aux contrats. Les grands donneurs d’ordres québécois exigent de plus en plus de leurs fournisseurs des preuves de posture : questionnaires, attestations d’audit, rapports de test récents. Pouvoir les produire est devenu un critère de qualification commerciale : leur absence, un motif d’élimination silencieuse.

2. L’assurance cyber. Les questionnaires de souscription recoupent directement les constats d’un audit. Une posture documentée se traduit en couverture obtenue, en prime maîtrisée, et en sinistre non contesté.

3. La conformité Loi 25. La loi exige des mesures de sécurité raisonnables. En cas d’incident, un audit et des tests documentés sont la démonstration tangible de votre diligence; leur absence, un facteur aggravant devant la Commission d’accès à l’information.

4. Le coût évité. Les estimations publiées du coût complet d’une attaque pour une PME canadienne varient fortement selon la méthodologie : elles sont à consulter à la source plutôt qu’à retenir comme un chiffre unique. Un programme annuel d’évaluation en représente une fraction, et c’est l’écart entre découvrir ses failles dans un rapport ou dans une demande de rançon.

Comment RISS mène-t-il ces exercices ?

Avec quelques principes fermes, dont un qui surprend : notre première recommandation est parfois de ne pas commander l’exercice demandé, si un diagnostic préalable produit plus de valeur au même budget.

  • Des intervenants certifiés et des méthodologies documentées : le nom de la méthodologie figure dans le rapport, et le rapport soutient la comparaison.
  • Le bon exercice, pas le plus gros. Un conseil qui commence par vous vendre l’exercice le plus cher n’est pas un conseil.
  • Des livrables à double lecture : sommaire exécutif pour la direction et le conseil, détail technique reproductible pour votre équipe ou votre fournisseur.
  • La conformité en un seul effort : chaque constat est cartographié simultanément sur la Loi 25, l’ISO 27001 et le cadre du NIST.
  • Le retest inclus sur les correctifs critiques : un rapport qui dort dans un tiroir est un échec, le nôtre comme le vôtre.

Balayage, test d’intrusion, audit : trois outils complémentaires, pas trois synonymes. Une organisation n’a pas besoin des trois dès demain : elle a besoin de commencer par celui qui répond à sa question du moment, avec un livrable qu’elle pourra opposer à un client, un assureur ou un régulateur.

FAQ

Combien coûte un accompagnement en cybersécurité ?

Aucun tarif unique n’est honnêtement affichable, parce que le périmètre dépend entièrement de votre contexte : nombre d’utilisateurs et de sites, ce que vos licences couvrent déjà, obligations réglementaires applicables, coût réel d’une heure d’arrêt, niveau de prise en charge souhaité, exigences de vos clients et de votre assureur. Deux entreprises du même effectif reçoivent des propositions très différentes pour ces raisons, et le premier échange sert précisément à établir ces variables.

Faut-il tout faire en même temps ?

Non, et essayer est le meilleur moyen de ne rien terminer. La logique recommandée est séquentielle : diagnostiquer, corriger les fondations, puis valider par un exercice technique. Beaucoup d’organisations avancent sur plusieurs exercices budgétaires, en traitant chaque année ce qui réduit le plus de risque pour le budget disponible.

Travaillez-vous avec notre fournisseur informatique actuel ?

Oui, c’est le cas le plus fréquent. Nous ne sommes pas un fournisseur de services informatiques gérés et nous ne cherchons pas à remplacer le vôtre : notre rôle est l’analyse, le conseil et l’encadrement. Comme nous ne revendons pas de licences, nous n’avons aucun revenu lié au choix d’un produit, ce qui nous permet d’évaluer ce qui est déjà en place et de dire quand un engagement contractuel manque.

Sources