{"id":904,"date":"2026-10-26T07:00:00","date_gmt":"2026-10-26T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=904"},"modified":"2026-09-04T13:00:45","modified_gmt":"2026-09-04T18:00:45","slug":"audit-cybersecurite-ou-test-intrusion","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/audit-cybersecurite-ou-test-intrusion\/","title":{"rendered":"Audit de cybers\u00e9curit\u00e9 ou test d&rsquo;intrusion : lequel choisir ?"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>Audit de cybers\u00e9curit\u00e9 ou test d&rsquo;intrusion : le choix d\u00e9pend de la question \u00e0 laquelle vous devez r\u00e9pondre, pas de vos pr\u00e9f\u00e9rences.<\/strong> Un audit examine l&rsquo;ensemble de vos pratiques ; un test d&rsquo;intrusion cible un p\u00e9rim\u00e8tre technique pr\u00e9cis et tente de le compromettre, comme le ferait un attaquant. Les deux co\u00fbtent diff\u00e9remment et ne se comparent pas terme \u00e0 terme sur une soumission.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/gouvernance_ti.png\" alt=\"audit de cybers\u00e9curit\u00e9 ou test d'intrusion : comment choisir entre les deux\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Si vous avez deux soumissions sur votre bureau, l&rsquo;une intitul\u00e9e \u00ab audit \u00bb et l&rsquo;autre \u00ab test d&rsquo;intrusion \u00bb, et que vous essayez de les mettre c\u00f4te \u00e0 c\u00f4te pour choisir la moins ch\u00e8re, vous comparez deux choses qui ne se comparent pas. Ce guide existe pour vous \u00e9viter cette erreur.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#audit-de-cybersecurite-ou-test-d-intrusion-quelle-est-la-difference\">Audit de cybers\u00e9curit\u00e9 ou test d&rsquo;intrusion : quelle est la diff\u00e9rence ?<\/a><\/li><li class=\"\"><a href=\"#lequel-mon-exigence-demande-t-elle-vraiment\">Lequel mon exigence demande-t-elle vraiment ?<\/a><\/li><li class=\"\"><a href=\"#combien-coute-un-audit-de-cybersecurite-ou-un-test-d-intrusion-en-dollars-canadiens\">Combien co\u00fbte un audit de cybers\u00e9curit\u00e9 ou un test d&rsquo;intrusion, en dollars canadiens ?<\/a><\/li><li class=\"\"><a href=\"#peut-on-faire-un-pentest-sans-audit\">Peut-on faire un pentest sans audit ?<\/a><\/li><li class=\"\"><a href=\"#dans-quel-ordre-les-faire\">Dans quel ordre les faire ?<\/a><\/li><li class=\"\"><a href=\"#qui-realise-ces-mandats-et-pourquoi-l-independance-compte-t-elle\">Qui r\u00e9alise ces mandats, et pourquoi l&rsquo;ind\u00e9pendance compte-t-elle ?<\/a><\/li><li class=\"\"><a href=\"#comment-comparer-une-soumission-d-audit-et-une-soumission-de-test-d-intrusion\">Comment comparer une soumission d&rsquo;audit et une soumission de test d&rsquo;intrusion ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"audit-de-cybersecurite-ou-test-d-intrusion-quelle-est-la-difference\" class=\"wp-block-heading\">Audit de cybers\u00e9curit\u00e9 ou test d&rsquo;intrusion : quelle est la diff\u00e9rence ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Un audit de cybers\u00e9curit\u00e9 couvre l&rsquo;ensemble des pratiques, un test d&rsquo;intrusion v\u00e9rifie un point pr\u00e9cis en tentant de le compromettre.<\/strong><\/p>\n\n<p class=\"wp-block-paragraph\">Un audit de cybers\u00e9curit\u00e9 inspecte la maison au complet : les serrures sont-elles solides, l&rsquo;alarme fonctionne-t-elle, les habitants verrouillent-ils la porte le soir, l&rsquo;assurance couvre-t-elle le bon montant. Il produit un portrait de maturit\u00e9 et une liste d&rsquo;\u00e9carts, class\u00e9s par risque.<\/p>\n\n<p class=\"wp-block-paragraph\">Un test d&rsquo;intrusion, souvent appel\u00e9 pentest dans l&rsquo;industrie, ne regarde pas la maison au complet. Il paie quelqu&rsquo;un pour essayer d&rsquo;entrer par une fen\u00eatre pr\u00e9cise, celle que vous lui avez d\u00e9sign\u00e9e dans le mandat, avec les outils et les m\u00e9thodes d&rsquo;un intrus. Il produit une preuve : telle vuln\u00e9rabilit\u00e9 existe, elle est exploitable, voici comment.<\/p>\n\n<p class=\"wp-block-paragraph\">Les deux livrables ne se comparent pas terme \u00e0 terme. Une soumission d&rsquo;audit de quinze pages et une soumission de test d&rsquo;intrusion de trois pages ne sont pas deux versions de la m\u00eame chose \u00e0 des prix diff\u00e9rents. Ce sont deux r\u00e9ponses \u00e0 deux questions diff\u00e9rentes.<\/p>\n\n<p class=\"wp-block-paragraph\">Si vous partez de z\u00e9ro sur la notion m\u00eame d&rsquo;audit, notre <a href=\"https:\/\/factero.ca\/blog\/audit-ti-independant-guide\/\">guide complet de l&rsquo;audit informatique<\/a> explique ce qu&rsquo;un audit couvre, en d\u00e9tail. Pour la d\u00e9clinaison propre aux petites organisations, voir <a href=\"https:\/\/factero.ca\/blog\/audit-cybersecurite-pme\/\">L&rsquo;audit de cybers\u00e9curit\u00e9 pour PME : ce qu&rsquo;il couvre vraiment<\/a>.<\/p>\n\n<h2 id=\"lequel-mon-exigence-demande-t-elle-vraiment\" class=\"wp-block-heading\">Lequel mon exigence demande-t-elle vraiment ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le vocabulaire de l&rsquo;exigence, pas votre pr\u00e9f\u00e9rence, d\u00e9termine lequel commander : audit de cybers\u00e9curit\u00e9 ou test d&rsquo;intrusion, parfois les deux. Le probl\u00e8me commence souvent avant m\u00eame que vous ayez demand\u00e9 une soumission. Un client, un assureur ou un r\u00e9f\u00e9rentiel de certification vous envoie une exigence r\u00e9dig\u00e9e dans un vocabulaire qui n&rsquo;est pas toujours pr\u00e9cis, et vous devez deviner ce qu&rsquo;elle demande r\u00e9ellement.<\/p>\n\n<p class=\"wp-block-paragraph\">La TGV, la Trousse globale de v\u00e9rification exig\u00e9e pour vendre au r\u00e9seau de la sant\u00e9 du Qu\u00e9bec, est un cas o\u00f9 l&rsquo;exigence devient claire une fois qu&rsquo;on sait o\u00f9 chercher. Sa v\u00e9rification externe comprend un test d&rsquo;intrusion obligatoire, r\u00e9alis\u00e9 par une firme sp\u00e9cialis\u00e9e, en plus de l&rsquo;examen des preuves documentaires du dossier. Nous d\u00e9taillons cette \u00e9tape pr\u00e9cise dans <a href=\"https:\/\/factero.ca\/blog\/verification-externe-tgv-pentest\/\">V\u00e9rification externe TGV : se pr\u00e9parer au test d&rsquo;intrusion<\/a>.<\/p>\n\n<p class=\"wp-block-paragraph\">D&rsquo;autres exigences sont moins limpides. Un client qui \u00e9crit dans son contrat qu&rsquo;il exige \u00ab une \u00e9valuation annuelle de votre posture de s\u00e9curit\u00e9 \u00bb peut vouloir dire un audit, un test d&rsquo;intrusion, ou les deux, selon qui a r\u00e9dig\u00e9 la clause. Un formulaire d&rsquo;assurance cyber qui demande si vous avez fait tester votre s\u00e9curit\u00e9 dans la derni\u00e8re ann\u00e9e ne pr\u00e9cise pas toujours de quel type de test il s&rsquo;agit.<\/p>\n\n<p class=\"wp-block-paragraph\">La bonne r\u00e9action n&rsquo;est pas de deviner. C&rsquo;est de retourner \u00e0 la source de l&rsquo;exigence, le client, l&rsquo;assureur ou l&rsquo;organisme de certification, et de demander une pr\u00e9cision par \u00e9crit : un rapport de gouvernance et de contr\u00f4les, ou une preuve d&rsquo;exploitation technique sur un p\u00e9rim\u00e8tre donn\u00e9. La r\u00e9ponse change compl\u00e8tement le type de soumission que vous devez demander.<\/p>\n\n<h2 id=\"combien-coute-un-audit-de-cybersecurite-ou-un-test-d-intrusion-en-dollars-canadiens\" class=\"wp-block-heading\">Combien co\u00fbte un audit de cybers\u00e9curit\u00e9 ou un test d&rsquo;intrusion, en dollars canadiens ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Le prix des deux d\u00e9pend enti\u00e8rement de l&rsquo;\u00e9tendue ou du p\u00e9rim\u00e8tre d\u00e9fini au mandat, jamais d&rsquo;un tarif fixe par cat\u00e9gorie de service.<\/strong><\/p>\n\n<p class=\"wp-block-paragraph\">Aucun chiffre honn\u00eate ne tient en une phrase. M\u00e9fiez-vous de qui vous en donne un sans avoir vu votre environnement.<\/p>\n\n<p class=\"wp-block-paragraph\">Le prix d&rsquo;un audit de cybers\u00e9curit\u00e9 d\u00e9pend de l&rsquo;\u00e9tendue examin\u00e9e :<\/p>\n\n<ul class=\"wp-block-list\"><li>Le nombre de syst\u00e8mes couverts<\/li><li>La taille de l&rsquo;organisation<\/li><li>La profondeur de la revue documentaire<\/li><li>Le nombre d&rsquo;entrevues \u00e0 mener<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Le prix d&rsquo;un test d&rsquo;intrusion d\u00e9pend du p\u00e9rim\u00e8tre technique d\u00e9fini au mandat : une application web, un r\u00e9seau interne, une infrastructure infonuagique, avec ou sans acc\u00e8s pr\u00e9alable au code source ou aux identifiants. Les mandats dits en bo\u00eete noire, en bo\u00eete grise ou en bo\u00eete blanche n&rsquo;exigent pas le m\u00eame effort, donc pas le m\u00eame prix.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce qui distingue une vraie comparaison d&rsquo;une comparaison inutile, ce n&rsquo;est pas le prix total, c&rsquo;est le p\u00e9rim\u00e8tre \u00e9crit noir sur blanc dans chaque soumission. Deux soumissions de test d&rsquo;intrusion \u00e0 des prix tr\u00e8s diff\u00e9rents peuvent couvrir des p\u00e9rim\u00e8tres qui n&rsquo;ont rien en commun l&rsquo;un avec l&rsquo;autre.<\/p>\n\n<p class=\"wp-block-paragraph\">Demandez syst\u00e9matiquement ces trois pr\u00e9cisions \u00e0 chaque soumissionnaire :<\/p>\n\n<ul class=\"wp-block-list\"><li>Le p\u00e9rim\u00e8tre exact couvert par le mandat<\/li><li>La m\u00e9thodologie suivie<\/li><li>Ce qui est explicitement exclu du mandat<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Une soumission qui ne r\u00e9pond pas clairement aux trois n&rsquo;est pas comparable, peu importe son prix.<\/p>\n\n<h2 id=\"peut-on-faire-un-pentest-sans-audit\" class=\"wp-block-heading\">Peut-on faire un pentest sans audit ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Oui, techniquement. Rien n&#8217;emp\u00eache de commander un test d&rsquo;intrusion sans avoir jamais fait d&rsquo;audit pr\u00e9alable. C&rsquo;est m\u00eame fr\u00e9quent : un client ou un r\u00e9f\u00e9rentiel demande sp\u00e9cifiquement un test d&rsquo;intrusion, sans exiger d&rsquo;audit plus large.<\/p>\n\n<p class=\"wp-block-paragraph\">Mais un test d&rsquo;intrusion command\u00e9 seul, sans portrait de vos pratiques de base, risque de tester une fen\u00eatre bien verrouill\u00e9e sur une maison dont la porte d&rsquo;entr\u00e9e ne ferme pas. Le rapport dira que la fen\u00eatre test\u00e9e est solide, ce qui est vrai et rassurant, sans jamais dire que le vrai probl\u00e8me est ailleurs.<\/p>\n\n<p class=\"wp-block-paragraph\">Un audit pr\u00e9alable, m\u00eame sommaire, aide \u00e0 choisir le bon p\u00e9rim\u00e8tre de test. Sans lui, le choix du p\u00e9rim\u00e8tre repose souvent sur ce qui est le plus facile ou le moins co\u00fbteux \u00e0 tester, pas sur ce qui pr\u00e9sente le plus de risque pour l&rsquo;organisation.<\/p>\n\n<h2 id=\"dans-quel-ordre-les-faire\" class=\"wp-block-heading\">Dans quel ordre les faire ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Audit de cybers\u00e9curit\u00e9 ou test d&rsquo;intrusion, l&rsquo;ordre compte autant que le choix. Pour une organisation qui structure sa s\u00e9curit\u00e9 pour la premi\u00e8re fois, l&rsquo;ordre le plus logique tient en quatre \u00e9tapes.<\/p>\n\n<ol class=\"wp-block-list\"><li>Un audit de cybers\u00e9curit\u00e9, pour \u00e9tablir un portrait complet : gouvernance, politiques, contr\u00f4les techniques de base, conformit\u00e9 \u00e0 la Loi 25 quand des renseignements personnels sont en jeu.<\/li><li>La correction des \u00e9carts les plus critiques identifi\u00e9s par l&rsquo;audit, avant de payer pour tester ce que vous savez d\u00e9j\u00e0 bris\u00e9.<\/li><li>Un test d&rsquo;intrusion, sur le p\u00e9rim\u00e8tre que l&rsquo;audit a identifi\u00e9 comme le plus expos\u00e9 ou le plus critique pour l&rsquo;organisation.<\/li><li>Une r\u00e9p\u00e9tition p\u00e9riodique des deux exercices, l&rsquo;audit \u00e0 un rythme g\u00e9n\u00e9ralement moins fr\u00e9quent que le test d&rsquo;intrusion, dont plusieurs exigences contractuelles ou r\u00e9glementaires imposent une reprise annuelle ou \u00e0 chaque changement technique majeur.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Cet ordre n&rsquo;est pas une r\u00e8gle absolue. Une entreprise qui r\u00e9pond dans l&rsquo;urgence \u00e0 une exigence contractuelle pr\u00e9cise, un rapport de test d&rsquo;intrusion \u00e0 fournir d&rsquo;ici une date fixe, commande le test d&rsquo;intrusion en premier, parce que l&rsquo;\u00e9ch\u00e9ance impose l&rsquo;ordre, pas la logique. L&rsquo;audit vient alors combler le reste, souvent apr\u00e8s.<\/p>\n\n<h2 id=\"qui-realise-ces-mandats-et-pourquoi-l-independance-compte-t-elle\" class=\"wp-block-heading\">Qui r\u00e9alise ces mandats, et pourquoi l&rsquo;ind\u00e9pendance compte-t-elle ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Les tests d&rsquo;intrusion s\u00e9rieux suivent des m\u00e9thodologies reconnues. Le PTES, ou Penetration Testing Execution Standard, et le NIST SP 800-115, une publication du National Institute of Standards and Technology am\u00e9ricain, structurent la d\u00e9marche, de la reconnaissance jusqu&rsquo;au rapport final. L&rsquo;OWASP, l&rsquo;Open Worldwide Application Security Project, documente les vuln\u00e9rabilit\u00e9s les plus fr\u00e9quentes des applications web, une r\u00e9f\u00e9rence technique que les firmes de test citent couramment dans leurs rapports. Le Centre canadien pour la cybers\u00e9curit\u00e9 publie aussi des orientations en cybers\u00e9curit\u00e9, utiles pour situer un mandat dans un cadre reconnu plut\u00f4t que dans le vocabulaire propre \u00e0 chaque fournisseur.<\/p>\n\n<p class=\"wp-block-paragraph\">Les exigences contractuelles des grands donneurs d&rsquo;ordre, les formulaires d&rsquo;assurance cyber de plus en plus pr\u00e9cis et des r\u00e9f\u00e9rentiels de certification comme la TGV, qui l&rsquo;imposent noir sur blanc, poussent de plus en plus d&rsquo;organisations \u00e0 commander un test d&rsquo;intrusion.<\/p>\n\n<p class=\"wp-block-paragraph\">Un dernier point, \u00e0 dire sans d\u00e9tour, parce que peu de fournisseurs le disent. Une firme qui vend uniquement des audits a un int\u00e9r\u00eat commercial \u00e0 vous convaincre que l&rsquo;audit suffit. Une firme qui vend uniquement des tests d&rsquo;intrusion a l&rsquo;int\u00e9r\u00eat inverse. Factero vend les deux types de mandats et ne touche aucune commission sur un produit \u00e0 placer : notre seul int\u00e9r\u00eat, dans cet \u00e9change, est de vous orienter vers ce que votre exigence demande r\u00e9ellement, pas vers ce qui rapporte le plus \u00e0 la fin du mandat.<\/p>\n\n<h2 id=\"comment-comparer-une-soumission-d-audit-et-une-soumission-de-test-d-intrusion\" class=\"wp-block-heading\">Comment comparer une soumission d&rsquo;audit et une soumission de test d&rsquo;intrusion ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le tableau suivant reprend les questions \u00e0 poser avant de signer, colonne par colonne.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Question<\/th><th>Audit de cybers\u00e9curit\u00e9<\/th><th>Test d&rsquo;intrusion<\/th><\/tr><\/thead><tbody><tr><td>Que couvre-t-il ?<\/td><td>L&rsquo;ensemble des pratiques : gouvernance, politiques, contr\u00f4les, conformit\u00e9<\/td><td>Un p\u00e9rim\u00e8tre technique pr\u00e9cis, d\u00e9fini au mandat<\/td><\/tr><tr><td>Comment proc\u00e8de-t-il ?<\/td><td>Entrevues, revue documentaire, examen des contr\u00f4les, parfois des scans techniques<\/td><td>Tentative active d&rsquo;exploitation de vuln\u00e9rabilit\u00e9s, comme un attaquant<\/td><\/tr><tr><td>Que produit-il ?<\/td><td>Un portrait de maturit\u00e9 et une liste d&rsquo;\u00e9carts prioris\u00e9s<\/td><td>Une preuve d&rsquo;exploitation, vuln\u00e9rabilit\u00e9 par vuln\u00e9rabilit\u00e9<\/td><\/tr><tr><td>Qui l&rsquo;exige souvent ?<\/td><td>Conseils d&rsquo;administration, exigences de gouvernance interne, Loi 25<\/td><td>Clients contractuels, assureurs cyber, r\u00e9f\u00e9rentiels comme la TGV<\/td><\/tr><tr><td>\u00c0 quelle fr\u00e9quence le refaire ?<\/td><td>Annuellement ou \u00e0 chaque changement de gouvernance majeur<\/td><td>Annuellement ou \u00e0 chaque changement technique majeur, selon l&rsquo;exigence<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Si les deux colonnes ne se ressemblent pas, c&rsquo;est normal. C&rsquo;est justement la preuve que vous ne comparez pas deux versions du m\u00eame service.<\/p>\n\n<p class=\"wp-block-paragraph\">Audit de cybers\u00e9curit\u00e9 ou test d&rsquo;intrusion, si les deux soumissions sont encore sur votre bureau et que vous ne savez plus laquelle r\u00e9pond \u00e0 votre exigence, envoyez-les-nous. Nous vendons les deux types de mandats et notre seul r\u00f4le, dans cet \u00e9change, est de vous dire laquelle des deux correspond \u00e0 ce qu&rsquo;on exige r\u00e9ellement de vous, m\u00eame quand la r\u00e9ponse n&rsquo;est pas la n\u00f4tre. Vous pouvez <a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">planifier un \u00e9change sur votre audit ou votre test d&rsquo;intrusion<\/a> directement.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">audit TI ind\u00e9pendant, bilan cyber et gouvernance<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/contre-expertise\/\">second avis ind\u00e9pendant sur vos deux soumissions<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Un test d&rsquo;intrusion remplace-t-il un audit de cybers\u00e9curit\u00e9 complet ?<\/summary><p class=\"wp-block-paragraph\">Non. Un test d&rsquo;intrusion r\u00e9pond \u00e0 une question plus \u00e9troite : est-ce qu&rsquo;un p\u00e9rim\u00e8tre technique pr\u00e9cis r\u00e9siste \u00e0 une tentative d&rsquo;intrusion r\u00e9elle. Il ne dit rien de vos politiques, de votre gouvernance ni de votre conformit\u00e9 \u00e0 la Loi 25. Un test r\u00e9ussi sur une fen\u00eatre ne garantit pas que la porte d&rsquo;entr\u00e9e est verrouill\u00e9e.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>La TGV exige-t-elle un audit de cybers\u00e9curit\u00e9 ou test d&rsquo;intrusion ?<\/summary><p class=\"wp-block-paragraph\">La v\u00e9rification externe de la certification TGV comprend un test d&rsquo;intrusion obligatoire, r\u00e9alis\u00e9 par un prestataire ind\u00e9pendant, en plus de l&rsquo;examen du dossier de conformit\u00e9. Ce n&rsquo;est pas un audit complet qui est exig\u00e9 \u00e0 cette \u00e9tape, mais une preuve d&rsquo;exploitation technique sur le produit certifi\u00e9. Les d\u00e9tails complets sont dans notre article sur la v\u00e9rification externe TGV.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Quand faire un test d&rsquo;intrusion ?<\/summary><p class=\"wp-block-paragraph\">Id\u00e9alement avant que le besoin ne devienne urgent : au lancement d&rsquo;un nouveau syst\u00e8me, avant une certification qui l&rsquo;exige comme la TGV, et apr\u00e8s tout changement technique majeur. Plusieurs exigences contractuelles ou r\u00e9glementaires imposent aussi une reprise annuelle, peu importe l&rsquo;absence de changement dans l&rsquo;environnement test\u00e9. La liste exacte des d\u00e9clencheurs d\u00e9pend toujours de ce que votre exigence pr\u00e9cise r\u00e9ellement.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Un test d&rsquo;intrusion co\u00fbte-t-il plus cher qu&rsquo;un audit de cybers\u00e9curit\u00e9 ?<\/summary><p class=\"wp-block-paragraph\">Ni l&rsquo;un ni l&rsquo;autre n&rsquo;est syst\u00e9matiquement plus cher : le prix des deux d\u00e9pend enti\u00e8rement du p\u00e9rim\u00e8tre d\u00e9fini au mandat, pas d&rsquo;une r\u00e8gle g\u00e9n\u00e9rale entre cat\u00e9gories de service. Un test d&rsquo;intrusion \u00e9troit sur une seule application co\u00fbte souvent moins qu&rsquo;un audit complet de gouvernance, l&rsquo;inverse est vrai pour un test sur une infrastructure large. Comparez les p\u00e9rim\u00e8tres, pas les \u00e9tiquettes.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien de temps dure un mandat de test d&rsquo;intrusion ?<\/summary><p class=\"wp-block-paragraph\">La dur\u00e9e d\u00e9pend enti\u00e8rement du p\u00e9rim\u00e8tre d\u00e9fini au mandat, pas d&rsquo;une norme g\u00e9n\u00e9rale applicable \u00e0 tous les tests. Un test cibl\u00e9 sur une seule application web se conclut g\u00e9n\u00e9ralement en quelques jours ; un mandat couvrant plusieurs syst\u00e8mes ou une infrastructure infonuagique compl\u00e8te prend plusieurs semaines. C&rsquo;est une question \u00e0 poser \u00e0 chaque soumissionnaire, le p\u00e9rim\u00e8tre exact en main.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/csrc.nist.gov\/pubs\/sp\/800\/115\/final\" target=\"_blank\" rel=\"noopener nofollow\">PTES ou NIST SP 800-115 \u2014 cadre m\u00e9thodologique des tests<\/a><\/li><li><a href=\"https:\/\/owasp.org\/\" target=\"_blank\" rel=\"noopener nofollow\">OWASP \u2014 m\u00e9thodologies de test (r\u00e9f\u00e9rence technique vulgaris\u00e9e)<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/\" target=\"_blank\" rel=\"noopener nofollow\">Centre canadien pour la cybers\u00e9curit\u00e9 \u2014 \u00e9valuations de s\u00e9curit\u00e9<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Un test d\\u0027intrusion remplace-t-il un audit de cybers\u00e9curit\u00e9 complet ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Un test d\\u0027intrusion r\u00e9pond \u00e0 une question plus \u00e9troite : est-ce qu\\u0027un p\u00e9rim\u00e8tre technique pr\u00e9cis r\u00e9siste \u00e0 une tentative d\\u0027intrusion r\u00e9elle. Il ne dit rien de vos politiques, de votre gouvernance ni de votre conformit\u00e9 \u00e0 la Loi 25. Un test r\u00e9ussi sur une fen\u00eatre ne garantit pas que la porte d\\u0027entr\u00e9e est verrouill\u00e9e.\"}},{\"@type\":\"Question\",\"name\":\"La TGV exige-t-elle un audit de cybers\u00e9curit\u00e9 ou test d\\u0027intrusion ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"La v\u00e9rification externe de la certification TGV comprend un test d\\u0027intrusion obligatoire, r\u00e9alis\u00e9 par un prestataire ind\u00e9pendant, en plus de l\\u0027examen du dossier de conformit\u00e9. Ce n\\u0027est pas un audit complet qui est exig\u00e9 \u00e0 cette \u00e9tape, mais une preuve d\\u0027exploitation technique sur le produit certifi\u00e9. Les d\u00e9tails complets sont dans notre article sur la v\u00e9rification externe TGV.\"}},{\"@type\":\"Question\",\"name\":\"Quand faire un test d\\u0027intrusion ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Id\u00e9alement avant que le besoin ne devienne urgent : au lancement d\\u0027un nouveau syst\u00e8me, avant une certification qui l\\u0027exige comme la TGV, et apr\u00e8s tout changement technique majeur. Plusieurs exigences contractuelles ou r\u00e9glementaires imposent aussi une reprise annuelle, peu importe l\\u0027absence de changement dans l\\u0027environnement test\u00e9. La liste exacte des d\u00e9clencheurs d\u00e9pend toujours de ce que votre exigence pr\u00e9cise r\u00e9ellement.\"}},{\"@type\":\"Question\",\"name\":\"Un test d\\u0027intrusion co\u00fbte-t-il plus cher qu\\u0027un audit de cybers\u00e9curit\u00e9 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Ni l\\u0027un ni l\\u0027autre n\\u0027est syst\u00e9matiquement plus cher : le prix des deux d\u00e9pend enti\u00e8rement du p\u00e9rim\u00e8tre d\u00e9fini au mandat, pas d\\u0027une r\u00e8gle g\u00e9n\u00e9rale entre cat\u00e9gories de service. Un test d\\u0027intrusion \u00e9troit sur une seule application co\u00fbte souvent moins qu\\u0027un audit complet de gouvernance, l\\u0027inverse est vrai pour un test sur une infrastructure large. Comparez les p\u00e9rim\u00e8tres, pas les \u00e9tiquettes.\"}},{\"@type\":\"Question\",\"name\":\"Combien de temps dure un mandat de test d\\u0027intrusion ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"La dur\u00e9e d\u00e9pend enti\u00e8rement du p\u00e9rim\u00e8tre d\u00e9fini au mandat, pas d\\u0027une norme g\u00e9n\u00e9rale applicable \u00e0 tous les tests. Un test cibl\u00e9 sur une seule application web se conclut g\u00e9n\u00e9ralement en quelques jours ; un mandat couvrant plusieurs syst\u00e8mes ou une infrastructure infonuagique compl\u00e8te prend plusieurs semaines. C\\u0027est une question \u00e0 poser \u00e0 chaque soumissionnaire, le p\u00e9rim\u00e8tre exact en main.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>Audit de cybers\u00e9curit\u00e9 ou test d&rsquo;intrusion : ils ne r\u00e9pondent pas \u00e0 la m\u00eame question. Ce qu&rsquo;ils couvrent, ce qu&rsquo;ils co\u00fbtent, et lequel choisir.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[26],"tags":[1420,1422,108,1428,1426,1432,1430,1424],"class_list":["post-904","post","type-post","status-publish","format-standard","hentry","category-gouvernance_ti","tag-audit-de-cybersecurite-ou-test-dintrusion","tag-difference-audit-et-pentest","tag-gouvernance-ti","tag-penetration-testing-vs-security-assessment","tag-pentest-ou-audit-lequel-choisir","tag-quand-faire-un-test-dintrusion","tag-soumission-test-dintrusion-comparer","tag-test-dintrusion-pme-quebec-prix"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/904","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=904"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/904\/revisions"}],"predecessor-version":[{"id":1397,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/904\/revisions\/1397"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=904"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=904"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=904"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}