Trois types de tests techniques
Quand on veut savoir si son environnement IT est bien protégé, on tombe vite sur les termes scan, audit et pentest. On les confond souvent, mais chacun répond à une question différente.
- Scan de vulnérabilités : recherche automatiquement des faiblesses connues, comme des mises à jour manquantes ou des services exposés. Rapide et large, mais peu approfondi.
- Audit de configuration : vérifie la configuration de vos systèmes, par exemple les paramètres de sécurité et les droits d’accès dans Microsoft 365 et Azure.
- Pentest : va plus loin. Dans le respect des règles convenues et avec votre autorisation écrite, nous testons si des faiblesses peuvent réellement être exploitées, comme le ferait un attaquant.
Lequel choisir ?
Le bon choix dépend de votre question. Pour une première vue d’ensemble des faiblesses connues, un scan est un bon point de départ. Pour savoir si votre environnement cloud est correctement configuré, optez pour un audit de configuration. Un pentest est pertinent si vous voulez savoir ce qu’un attaquant pourrait réellement obtenir, par exemple pour une application critique ou à la demande d’un client ou d’un assureur.
Un pentest n’est donc pas forcément le meilleur choix. Sans connaissance préalable de votre environnement, il apporte souvent moins qu’un audit bien ciblé. C’est pourquoi, chez Cyberwise, nous ne réalisons pas systématiquement de pentest : nous décidons ensemble s’il est utile, et à quel moment.
Les points à surveiller
- Un périmètre clair : quels systèmes, quelle période et quelles règles d’engagement ? Mettez-le par écrit.
- Un rapport clair : les résultats automatisés doivent être vérifiés manuellement et traduits en risques et en priorités. Les limites doivent aussi y figurer.
- Suivi : votre équipe IT ou votre partenaire IT corrige les problèmes, et un retest confirme qu’ils sont bien résolus.
Comment Cyberwise vous aide
Avec nos audits de sécurité nous testons votre environnement en fonction de votre question, de l’audit de configuration ciblé jusqu’au pentest. Un audit peut être réalisé seul ou à la suite du Cyberwise Baseline.