Combien coûte un test d'intrusion ?

Un test d'intrusion (pentest) est une tentative de piratage éthique et contrôlée au cours de laquelle des spécialistes attaquent vos systèmes comme le ferait un véritable attaquant, afin de trouver les vulnérabilités avant que des criminels ne le fassent. Les coûts varient fortement car "un pentest" n'est pas un produit figé : le périmètre détermine le prix.

Quels facteurs déterminent le prix ?

• Périmètre et ampleur : le nombre d'applications, d'adresses IP, de systèmes ou de rôles utilisateur testés.
• Type de test : un test d'application web, réseau, cloud, mobile ou API demande une expertise et un temps différents.
• Profondeur : un test black box (sans connaissance préalable) diffère d'un test grey box ou white box (avec accès et documentation).
• Complexité : un logiciel sur mesure et de nombreuses intégrations exigent plus de temps de recherche qu'un environnement standard.
• Nouveau test : un contrôle après correction des constatations, souvent facturé séparément.

Que recevez-vous en retour ?

Un bon pentest fournit plus qu'une liste de vulnérabilités. Vous recevez un rapport clair avec une classification du risque par constatation, des recommandations concrètes de correction, un ordre de priorité et une synthèse de gestion. Ce rapport est en outre utilisable comme preuve pour NIS2, ISO 27001, vos clients et votre assureur cyber.

À quoi prêter attention en comparant les devis ?

• Le périmètre est-il précisément défini, afin de comparer ce qui est comparable ?
• Le test est-il réalisé manuellement, ou lance-t-on seulement une analyse automatisée ? Les vrais pentests relèvent en grande partie du travail manuel.
• Un nouveau test et un rapport clair sont-ils inclus dans le prix ?
• Quelles certifications et quelle expérience possèdent les testeurs ?
• Recevez-vous une explication orale des constatations ?

Pentest ou analyse de vulnérabilités ?

Ne confondez pas un pentest avec une analyse de vulnérabilités (vulnerability scan). Une analyse est un contrôle automatisé et continu qui signale les vulnérabilités connues, idéal pour garder une visibilité permanente. Un pentest est un travail manuel approfondi qui trouve aussi les failles de logique et les chemins d'attaque combinés. Ils se complètent : l'analyse pour la continuité, le pentest pour la profondeur.