Choisir un prestataire d'audit cybersécurité : 10 questions à poser
Scan, audit ou test d'intrusion ? Voici comment comparer les devis, ce que signifie la qualification PASSI et les signaux d'alerte à repérer.
Scan, audit, test d'intrusion : quelle différence ?
Ces trois prestations sont souvent confondues dans les devis. Elles répondent à des questions différentes et ne coûtent pas le même prix.
| Scan de vulnérabilités | Audit de sécurité | Test d'intrusion (pentest) | |
|---|---|---|---|
| Question posée | Quelles vulnérabilités connues sont présentes ? | Mon système respecte-t-il les bonnes pratiques et le référentiel visé ? | Un attaquant peut-il vraiment entrer, et jusqu'où ? |
| Méthode | Outil automatisé, sans exploitation | Analyse structurée, techniques et organisationnelle selon le périmètre | Attaque simulée par des experts, avec exploitation |
| Résultat | Liste de vulnérabilités | Constats, risques, recommandations priorisées | Scénarios d'attaque démontrés et impact réel |
| Cadre | Périmètre et autorisation écrite | Périmètre et autorisation écrite | Contrat spécifique, règles d'engagement, autorisation écrite |
L'audit réseau Kapelgy se situe entre le scan et l'audit : il découvre l'exposition réseau, vérifie le chiffrement et un socle de contrôles techniques, et fournit un plan d'action. Il n'exploite pas les failles : ce n'est pas un test d'intrusion.
Les 10 questions à poser avant de signer
- Quel est le périmètre exact ? Sites, plages IP, applications, dates : tout doit être écrit dans le devis.
- Y a-t-il une autorisation écrite ? Aucun test sur vos systèmes ne doit démarrer sans elle, signée par le représentant légal.
- Quelle méthode, quels outils ? Un prestataire sérieux explique ce qu'il fait et ce qu'il ne fait pas.
- Que contient le livrable ? Demandez un exemple de rapport anonymisé : constats priorisés, preuves, recommandations actionnables.
- Y a-t-il une restitution commentée ? Un rapport remis sans échange est rarement exploité.
- Comment sont traitées vos données ? Où sont stockés les résultats, chiffrés ou non, pendant combien de temps, quels sous-traitants.
- Quelles références vérifiables ? Missions comparables, certifications des intervenants, qualification éventuelle.
- Quelle assurance ? Responsabilité civile professionnelle couvrant les incidents liés aux tests.
- Que se passe-t-il si un test perturbe un service ? Fenêtres d'intervention, procédure d'arrêt, point de contact.
- Et après ? Accompagnement à la correction, nouvel audit de contrôle, coût de ces suites.
Qualification PASSI, ISO 27001, CSPN : que valent ces labels ?
PASSI (prestataire d'audit de la sécurité des systèmes d'information) est une qualification délivrée par l'ANSSI. Elle est exigée ou recommandée pour certains audits réglementaires, par exemple pour les opérateurs d'importance vitale. Elle n'est pas obligatoire pour toute entreprise : une PME hors de ces cadres peut légitimement faire appel à un prestataire non qualifié, à condition de bien vérifier méthode, périmètre et références.
Ne confondez pas : la qualification d'un prestataire (PASSI), la certification d'un produit (CSPN, Critères Communs) et la certification d'un système de management (ISO 27001). Ce sont des choses différentes.
Transparence : Kapelgy ne détient pas, à ce jour, de qualification PASSI ni de certification ISO 27001. Si votre cadre réglementaire ou votre client l'exige, nous vous le dirons dès l'appel de cadrage.
Les pièges à éviter
- « 100 % sécurisé » ou « garanti sans piratage ». Aucun prestataire sérieux ne peut promettre cela.
- Un prix très bas sans périmètre écrit. Le devis ne dit pas ce qui est réellement testé.
- Un rapport générique qui liste des vulnérabilités sans priorité ni contexte pour votre activité.
- Aucune autorisation demandée avant de scanner vos systèmes : c'est illégal et révélateur.
- Un test d'intrusion vendu comme un simple « scan » (ou l'inverse) : demandez la méthode.
- Aucune restitution et aucun suivi après remise du rapport.
Questions fréquentes
Faut-il un prestataire qualifié PASSI ?
Pas nécessairement. La qualification est exigée ou recommandée dans certains cadres réglementaires (par exemple pour les opérateurs d'importance vitale). Pour une PME hors de ces cadres, c'est un critère de confiance parmi d'autres, pas une obligation générale.
Un audit automatisé peut-il remplacer un test d'intrusion ?
Non. Un audit identifie des écarts et des expositions ; un test d'intrusion démontre l'impact d'une attaque réelle. Les deux se complètent, et le bon choix dépend de votre objectif.
Combien de temps dure un audit réseau pour une PME ?
La durée dépend du périmètre (nombre de sites et d'équipements). Elle est précisée dans le devis, après un appel de cadrage.
Parlons de votre réseau
30 minutes pour cadrer votre besoin, sans engagement. Aucun test technique sans votre autorisation écrite.