Savoir si vos défenses tiennent, pour de vrai

Vous avez un pare-feu, un antivirus, des sauvegardes et le MFA. Bonne nouvelle. Mais est-ce que quelqu'un a déjà essayé d'entrer pour vérifier?

C'est toute la différence entre penser être protégé et le savoir. Un test d'intrusion adopte le point de vue de l'attaquant plutôt que celui de la liste de contrôle.

Scan de vulnérabilités et test d'intrusion : ne pas confondre

C'est la confusion la plus fréquente, et elle a un impact sur le prix comme sur la valeur.

Le scan de vulnérabilités est automatisé. Il compare vos systèmes à une base de failles connues et produit une liste. C'est utile, rapide, et cela devrait tourner en continu.

Le test d'intrusion va plus loin : il tente réellement d'exploiter les failles, de les enchaîner et de progresser dans le réseau. C'est cet enchaînement qui révèle le risque réel. Un mot de passe faible sur un compte sans importance devient critique s'il permet d'atteindre un serveur de fichiers.

Beaucoup de « tests de pénétration » vendus aux PME sont en réalité des scans avec un rapport soigné. Demandez toujours ce qui est automatisé et ce qui est fait manuellement.

Ce qu'un test révèle typiquement dans une PME

D'après ce que nous voyons le plus souvent :

Des comptes d'anciens employés jamais désactivés.

Des accès à distance exposés sans MFA, parfois installés par un fournisseur d'équipement.

Des serveurs ou équipements réseau en fin de support, oubliés dans un placard.

Des permissions de fichiers trop larges, où tout le monde a accès à tout.

Des mots de passe réutilisés entre un service en ligne et un compte administrateur.

De l'authentification héritée encore active, qui contourne le MFA.

Aucune de ces découvertes n'est exotique. Ce sont des portes ordinaires que personne n'avait vérifiées.

Test externe, interne, et hameçonnage

Externe : ce qu'un attaquant voit depuis Internet. C'est le point de départ logique.

Interne : ce qu'il pourrait faire une fois entré, par exemple via un poste compromis. C'est souvent le plus révélateur, parce que beaucoup de réseaux sont durs à l'extérieur et mous à l'intérieur.

Ingénierie sociale : tester la réaction de vos employés. À coupler avec de la formation, jamais avec des sanctions.

En milieu manufacturier, un test doit être planifié avec prudence : on ne lance pas de tests agressifs sur des systèmes de production en fonctionnement.

À quelle fréquence?

Un test annuel est un minimum raisonnable pour la plupart des PME. Il faut aussi tester après un changement important : nouveau site, migration infonuagique, nouvel accès fournisseur, refonte du réseau.

Entre les tests, un balayage régulier des vulnérabilités comble l'intervalle. Les deux sont complémentaires : le balayage surveille, le test valide.

Lire le rapport correctement

Un bon rapport ne se juge pas au nombre de failles trouvées, mais à sa capacité à répondre à trois questions :

1. Qu'est-ce qui est exploitable, réellement? Une longue liste de failles théoriques a moins de valeur qu'une seule chaîne d'attaque démontrée.
2. Par quoi commencer? Les recommandations doivent être classées par risque réel, pas seulement par sévérité technique.
3. Comment le corriger? Des instructions applicables par votre équipe ou votre fournisseur.

Un rapport qui finit sur une tablette n'a servi à rien. Prévoyez d'avance qui corrige quoi, et un nouveau test pour valider les correctifs.

Conformité et attentes des clients

Un test d'intrusion soutient plusieurs exigences en même temps :

Il documente vos « mesures de sécurité raisonnables » au sens de la Loi 25.

Il répond aux questionnaires de sécurité de vos clients corporatifs, de plus en plus fréquents.

Il appuie votre dossier auprès des assureurs, qui veulent des preuves de contrôles, comme nous l'expliquons pour l'assurance cyber en 2026.

En résumé

Un test d'intrusion transforme des suppositions en faits. Assurez-vous de savoir ce qui est automatisé et ce qui est manuel, testez l'interne autant que l'externe, refaites-le après tout changement majeur, et surtout, planifiez la correction avant même de recevoir le rapport.

Notre checklist gratuite de cybersécurité en 10 points couvre les bases à régler avant même un test. Pour discuter d'un test d'intrusion adapté à votre environnement, communiquez avec nous ou appelez le 514-939-3222.