En bref : Audit de cybersécurité ou test d’intrusion : le choix dépend de la question à laquelle vous devez répondre, pas de vos préférences. Un audit examine l’ensemble de vos pratiques ; un test d’intrusion cible un périmètre technique précis et tente de le compromettre, comme le ferait un attaquant. Les deux coûtent différemment et ne se comparent pas terme à terme sur une soumission.
Si vous avez deux soumissions sur votre bureau, l’une intitulée « audit » et l’autre « test d’intrusion », et que vous essayez de les mettre côte à côte pour choisir la moins chère, vous comparez deux choses qui ne se comparent pas. Ce guide existe pour vous éviter cette erreur.
Dans cet article
Audit de cybersécurité ou test d’intrusion : quelle est la différence ?
Un audit de cybersécurité couvre l’ensemble des pratiques, un test d’intrusion vérifie un point précis en tentant de le compromettre.
Un audit de cybersécurité inspecte la maison au complet : les serrures sont-elles solides, l’alarme fonctionne-t-elle, les habitants verrouillent-ils la porte le soir, l’assurance couvre-t-elle le bon montant. Il produit un portrait de maturité et une liste d’écarts, classés par risque.
Un test d’intrusion, souvent appelé pentest dans l’industrie, ne regarde pas la maison au complet. Il paie quelqu’un pour essayer d’entrer par une fenêtre précise, celle que vous lui avez désignée dans le mandat, avec les outils et les méthodes d’un intrus. Il produit une preuve : telle vulnérabilité existe, elle est exploitable, voici comment.
Les deux livrables ne se comparent pas terme à terme. Une soumission d’audit de quinze pages et une soumission de test d’intrusion de trois pages ne sont pas deux versions de la même chose à des prix différents. Ce sont deux réponses à deux questions différentes.
Si vous partez de zéro sur la notion même d’audit, notre guide complet de l’audit informatique explique ce qu’un audit couvre, en détail. Pour la déclinaison propre aux petites organisations, voir L’audit de cybersécurité pour PME : ce qu’il couvre vraiment.
Lequel mon exigence demande-t-elle vraiment ?
Le vocabulaire de l’exigence, pas votre préférence, détermine lequel commander : audit de cybersécurité ou test d’intrusion, parfois les deux. Le problème commence souvent avant même que vous ayez demandé une soumission. Un client, un assureur ou un référentiel de certification vous envoie une exigence rédigée dans un vocabulaire qui n’est pas toujours précis, et vous devez deviner ce qu’elle demande réellement.
La TGV, la Trousse globale de vérification exigée pour vendre au réseau de la santé du Québec, est un cas où l’exigence devient claire une fois qu’on sait où chercher. Sa vérification externe comprend un test d’intrusion obligatoire, réalisé par une firme spécialisée, en plus de l’examen des preuves documentaires du dossier. Nous détaillons cette étape précise dans Vérification externe TGV : se préparer au test d’intrusion.
D’autres exigences sont moins limpides. Un client qui écrit dans son contrat qu’il exige « une évaluation annuelle de votre posture de sécurité » peut vouloir dire un audit, un test d’intrusion, ou les deux, selon qui a rédigé la clause. Un formulaire d’assurance cyber qui demande si vous avez fait tester votre sécurité dans la dernière année ne précise pas toujours de quel type de test il s’agit.
La bonne réaction n’est pas de deviner. C’est de retourner à la source de l’exigence, le client, l’assureur ou l’organisme de certification, et de demander une précision par écrit : un rapport de gouvernance et de contrôles, ou une preuve d’exploitation technique sur un périmètre donné. La réponse change complètement le type de soumission que vous devez demander.
Combien coûte un audit de cybersécurité ou un test d’intrusion, en dollars canadiens ?
Le prix des deux dépend entièrement de l’étendue ou du périmètre défini au mandat, jamais d’un tarif fixe par catégorie de service.
Aucun chiffre honnête ne tient en une phrase. Méfiez-vous de qui vous en donne un sans avoir vu votre environnement.
Le prix d’un audit de cybersécurité dépend de l’étendue examinée :
- Le nombre de systèmes couverts
- La taille de l’organisation
- La profondeur de la revue documentaire
- Le nombre d’entrevues à mener
Le prix d’un test d’intrusion dépend du périmètre technique défini au mandat : une application web, un réseau interne, une infrastructure infonuagique, avec ou sans accès préalable au code source ou aux identifiants. Les mandats dits en boîte noire, en boîte grise ou en boîte blanche n’exigent pas le même effort, donc pas le même prix.
Ce qui distingue une vraie comparaison d’une comparaison inutile, ce n’est pas le prix total, c’est le périmètre écrit noir sur blanc dans chaque soumission. Deux soumissions de test d’intrusion à des prix très différents peuvent couvrir des périmètres qui n’ont rien en commun l’un avec l’autre.
Demandez systématiquement ces trois précisions à chaque soumissionnaire :
- Le périmètre exact couvert par le mandat
- La méthodologie suivie
- Ce qui est explicitement exclu du mandat
Une soumission qui ne répond pas clairement aux trois n’est pas comparable, peu importe son prix.
Peut-on faire un pentest sans audit ?
Oui, techniquement. Rien n’empêche de commander un test d’intrusion sans avoir jamais fait d’audit préalable. C’est même fréquent : un client ou un référentiel demande spécifiquement un test d’intrusion, sans exiger d’audit plus large.
Mais un test d’intrusion commandé seul, sans portrait de vos pratiques de base, risque de tester une fenêtre bien verrouillée sur une maison dont la porte d’entrée ne ferme pas. Le rapport dira que la fenêtre testée est solide, ce qui est vrai et rassurant, sans jamais dire que le vrai problème est ailleurs.
Un audit préalable, même sommaire, aide à choisir le bon périmètre de test. Sans lui, le choix du périmètre repose souvent sur ce qui est le plus facile ou le moins coûteux à tester, pas sur ce qui présente le plus de risque pour l’organisation.
Dans quel ordre les faire ?
Audit de cybersécurité ou test d’intrusion, l’ordre compte autant que le choix. Pour une organisation qui structure sa sécurité pour la première fois, l’ordre le plus logique tient en quatre étapes.
- Un audit de cybersécurité, pour établir un portrait complet : gouvernance, politiques, contrôles techniques de base, conformité à la Loi 25 quand des renseignements personnels sont en jeu.
- La correction des écarts les plus critiques identifiés par l’audit, avant de payer pour tester ce que vous savez déjà brisé.
- Un test d’intrusion, sur le périmètre que l’audit a identifié comme le plus exposé ou le plus critique pour l’organisation.
- Une répétition périodique des deux exercices, l’audit à un rythme généralement moins fréquent que le test d’intrusion, dont plusieurs exigences contractuelles ou réglementaires imposent une reprise annuelle ou à chaque changement technique majeur.
Cet ordre n’est pas une règle absolue. Une entreprise qui répond dans l’urgence à une exigence contractuelle précise, un rapport de test d’intrusion à fournir d’ici une date fixe, commande le test d’intrusion en premier, parce que l’échéance impose l’ordre, pas la logique. L’audit vient alors combler le reste, souvent après.
Qui réalise ces mandats, et pourquoi l’indépendance compte-t-elle ?
Les tests d’intrusion sérieux suivent des méthodologies reconnues. Le PTES, ou Penetration Testing Execution Standard, et le NIST SP 800-115, une publication du National Institute of Standards and Technology américain, structurent la démarche, de la reconnaissance jusqu’au rapport final. L’OWASP, l’Open Worldwide Application Security Project, documente les vulnérabilités les plus fréquentes des applications web, une référence technique que les firmes de test citent couramment dans leurs rapports. Le Centre canadien pour la cybersécurité publie aussi des orientations en cybersécurité, utiles pour situer un mandat dans un cadre reconnu plutôt que dans le vocabulaire propre à chaque fournisseur.
Les exigences contractuelles des grands donneurs d’ordre, les formulaires d’assurance cyber de plus en plus précis et des référentiels de certification comme la TGV, qui l’imposent noir sur blanc, poussent de plus en plus d’organisations à commander un test d’intrusion.
Un dernier point, à dire sans détour, parce que peu de fournisseurs le disent. Une firme qui vend uniquement des audits a un intérêt commercial à vous convaincre que l’audit suffit. Une firme qui vend uniquement des tests d’intrusion a l’intérêt inverse. Factero vend les deux types de mandats et ne touche aucune commission sur un produit à placer : notre seul intérêt, dans cet échange, est de vous orienter vers ce que votre exigence demande réellement, pas vers ce qui rapporte le plus à la fin du mandat.
Comment comparer une soumission d’audit et une soumission de test d’intrusion ?
Le tableau suivant reprend les questions à poser avant de signer, colonne par colonne.
| Question | Audit de cybersécurité | Test d’intrusion |
|---|---|---|
| Que couvre-t-il ? | L’ensemble des pratiques : gouvernance, politiques, contrôles, conformité | Un périmètre technique précis, défini au mandat |
| Comment procède-t-il ? | Entrevues, revue documentaire, examen des contrôles, parfois des scans techniques | Tentative active d’exploitation de vulnérabilités, comme un attaquant |
| Que produit-il ? | Un portrait de maturité et une liste d’écarts priorisés | Une preuve d’exploitation, vulnérabilité par vulnérabilité |
| Qui l’exige souvent ? | Conseils d’administration, exigences de gouvernance interne, Loi 25 | Clients contractuels, assureurs cyber, référentiels comme la TGV |
| À quelle fréquence le refaire ? | Annuellement ou à chaque changement de gouvernance majeur | Annuellement ou à chaque changement technique majeur, selon l’exigence |
Si les deux colonnes ne se ressemblent pas, c’est normal. C’est justement la preuve que vous ne comparez pas deux versions du même service.
Audit de cybersécurité ou test d’intrusion, si les deux soumissions sont encore sur votre bureau et que vous ne savez plus laquelle répond à votre exigence, envoyez-les-nous. Nous vendons les deux types de mandats et notre seul rôle, dans cet échange, est de vous dire laquelle des deux correspond à ce qu’on exige réellement de vous, même quand la réponse n’est pas la nôtre. Vous pouvez planifier un échange sur votre audit ou votre test d’intrusion directement.
Pour aller plus loin avec Factero :
Foire aux questions
Un test d’intrusion remplace-t-il un audit de cybersécurité complet ?
Non. Un test d’intrusion répond à une question plus étroite : est-ce qu’un périmètre technique précis résiste à une tentative d’intrusion réelle. Il ne dit rien de vos politiques, de votre gouvernance ni de votre conformité à la Loi 25. Un test réussi sur une fenêtre ne garantit pas que la porte d’entrée est verrouillée.
La TGV exige-t-elle un audit de cybersécurité ou test d’intrusion ?
La vérification externe de la certification TGV comprend un test d’intrusion obligatoire, réalisé par un prestataire indépendant, en plus de l’examen du dossier de conformité. Ce n’est pas un audit complet qui est exigé à cette étape, mais une preuve d’exploitation technique sur le produit certifié. Les détails complets sont dans notre article sur la vérification externe TGV.
Quand faire un test d’intrusion ?
Idéalement avant que le besoin ne devienne urgent : au lancement d’un nouveau système, avant une certification qui l’exige comme la TGV, et après tout changement technique majeur. Plusieurs exigences contractuelles ou réglementaires imposent aussi une reprise annuelle, peu importe l’absence de changement dans l’environnement testé. La liste exacte des déclencheurs dépend toujours de ce que votre exigence précise réellement.
Un test d’intrusion coûte-t-il plus cher qu’un audit de cybersécurité ?
Ni l’un ni l’autre n’est systématiquement plus cher : le prix des deux dépend entièrement du périmètre défini au mandat, pas d’une règle générale entre catégories de service. Un test d’intrusion étroit sur une seule application coûte souvent moins qu’un audit complet de gouvernance, l’inverse est vrai pour un test sur une infrastructure large. Comparez les périmètres, pas les étiquettes.
Combien de temps dure un mandat de test d’intrusion ?
La durée dépend entièrement du périmètre défini au mandat, pas d’une norme générale applicable à tous les tests. Un test ciblé sur une seule application web se conclut généralement en quelques jours ; un mandat couvrant plusieurs systèmes ou une infrastructure infonuagique complète prend plusieurs semaines. C’est une question à poser à chaque soumissionnaire, le périmètre exact en main.
