Test d’intrusion de conformité : PCI DSS, HDS, SOC 2 et ISO 27001
Un test d’intrusion dont le périmètre et le rapport répondent à ce que votre auditeur va lire.
Réponse courte
Pentest de conformité : de quoi s’agit-il, pour qui, à quel prix ?
Test d’intrusion cadré sur l’exigence d’une norme ou d’un client : PCI DSS 11.4, SOC 2, ISO 27001 annexe A 8.8, certification HDS. Durée indicative : 3 à 15 jours selon le périmètre et le nombre d’environnements. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Quand une norme ou un client exige un test d’intrusion, la technique ne change pas, mais deux choses comptent davantage : le périmètre et la preuve. Le périmètre doit correspondre à ce que le référentiel désigne, et le rapport doit contenir ce que l’évaluateur viendra y chercher : méthode, périmètre, dates, constats, corrections et nouveau test. Un test brillant sur le mauvais périmètre est refusé à l’audit, et c’est une dépense à refaire.
Le contenu des exigences varie. Pour PCI DSS : définition, l’exigence 11.4 demande un test d’intrusion interne et externe au moins une fois par an et après un changement important, selon une méthode documentée, avec un test des mesures de segmentation et un nouveau test des failles exploitables corrigées. ISO/IEC 27001 : définition, annexe A, contrôle 8.8, demande de gérer les vulnérabilités techniques : la norme ne nomme pas le test d’intrusion comme obligation, mais il compte parmi les moyens de montrer cette gestion. Un rapport SOC : définition 2 repose sur des critères dont l’auditeur apprécie les preuves, et beaucoup d’auditeurs attendent un test annuel. La certification HDS s’appuie sur un référentiel bâti sur ISO/IEC 27001 : le test y sert de preuve, et la fréquence attendue se confirme auprès de l’organisme certificateur.
Nous ne sommes pas évaluateur QSA, ni auditeur SOC 2, ni organisme de certification, et nous ne réalisons pas les scans trimestriels d’un prestataire approuvé PCI. Nous ne délivrons aucune attestation de conformité. Le test d’intrusion produit une preuve technique que votre évaluateur ou votre auditeur apprécie. Avant de chiffrer, nous lisons avec vous l’exigence applicable et, si besoin, nous la faisons confirmer par votre évaluateur : périmètre, fréquence, test de segmentation, niveau d’indépendance attendu.
En résumé
- Durée indicative
- 3 à 15 jours selon le périmètre et le nombre d’environnements
- Prix
- sur devissur devis après cadrage : le prix dépend du périmètre exigé par la norme, du nombre d’environnements et des tests de segmentation
- Référentiels appliqués
- PCI DSS v4.0.1, exigence 11.4PCI SSC, Penetration Testing GuidanceISO/IEC 27001:2022, annexe A, contrôle 8.8ISO/IEC 27002:2022AICPA, critères de services de confiance (SOC 2)Référentiel de certification HDS (Agence du numérique en santé)NIST SP 800-115
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Pentest de conformité : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Lecture de l’exigence
Ce que le référentiel dit exactement, ce que votre évaluateur en attend et ce qui relève de l’interprétation. Le périmètre est écrit dans la lettre de mission, avec ses références.
Test externe
Systèmes exposés sur Internet qui entrent dans le périmètre : applications, API, services réseau. Test manuel et outillé, avec exploitation contrôlée.
Test interne
Depuis un poste ou un compte du réseau interne : élévation de privilèges, déplacement latéral, accès aux systèmes de l’environnement visé.
Test de segmentation
Quand la norme l’exige, vérification que les mesures de cloisonnement isolent bien l’environnement concerné du reste du réseau.
Applications et API du périmètre
Test des applications et des API sur lesquelles repose l’environnement visé, selon la méthode OWASP : contrôle d’accès, authentification, logique métier.
Correctifs et nouveau test
Vérification que les failles exploitables ont été corrigées, avec un document qui consigne les dates et les résultats à l’intention de l’évaluateur.
Pentest de conformité : que livre la mission ?
- Rapport avec méthode, périmètre et dates, rédigé pour être remis à l’évaluateur ou à l’auditeur
- Une fiche par constat : preuve, impact et correctif
- Table de correspondance entre les constats et l’exigence visée
- Compte rendu du test de segmentation, quand il est dans le périmètre
- Document de nouveau test après correction
- Restitution aux équipes techniques et au responsable conformité
Qu’est-ce que cela change pour vous ?
- Un rapport que l’évaluateur ou l’auditeur peut lire sans demander de complément
- Un calendrier annuel de tests aligné sur les échéances d’audit
- Des failles réellement corrigées, et pas seulement une case cochée
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Pentest de conformité : pour qui est-ce utile ?
- Commerçants et prestataires qui traitent des cartes bancaires et doivent satisfaire PCI DSS
- Éditeurs SaaS qui préparent un rapport SOC 2 ou répondent à un grand compte
- Hébergeurs et éditeurs du secteur de la santé en cours de certification HDS
- Organisations en cours de certification ISO/IEC 27001 qui doivent montrer comment elles gèrent leurs vulnérabilités
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Pentest de conformité : combien de temps dure la mission ?
Durée indicative : 3 à 15 jours selon le périmètre et le nombre d’environnements. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Pentest de conformité : ce qu’on nous demande
À quelle fréquence faut-il un test d’intrusion pour PCI DSS ?
L’exigence 11.4 demande un test interne et un test externe au moins une fois tous les douze mois et après tout changement important de l’infrastructure ou des applications. La segmentation, si vous l’utilisez pour réduire le périmètre, se teste au moins tous les douze mois, tous les six mois pour un prestataire de services. Les failles exploitables doivent être corrigées puis testées de nouveau. Le testeur doit être qualifié et indépendant de ce qu’il teste, sans avoir à être évaluateur QSA.
Votre rapport suffit-il pour un audit PCI DSS ou SOC 2 ?
Il fournit la preuve technique, mais c’est votre évaluateur ou votre auditeur qui décide s’il est suffisant. Nous ne sommes ni QSA ni cabinet d’audit SOC 2 et nous ne délivrons aucune attestation. C’est pourquoi nous faisons confirmer par lui le périmètre, la méthode et la fréquence avant de commencer : un rapport refusé pour un périmètre mal compris coûte plus cher que dix minutes d’échange préalable.
ISO 27001 impose-t-elle un test d’intrusion ?
Pas explicitement. Le contrôle 8.8 de l’annexe A demande de recueillir les informations sur les vulnérabilités techniques, d’évaluer l’exposition et de prendre des mesures appropriées. Le test d’intrusion est l’un des moyens de montrer que cette gestion fonctionne, et la norme d’accompagnement ISO/IEC 27002 le cite parmi les options. L’auditeur de certification attend surtout que votre choix soit justifié par votre analyse de risques et que ses résultats soient suivis.
Un scan trimestriel PCI remplace-t-il un test d’intrusion ?
Non. Le scan externe trimestriel est automatisé, réalisé par un prestataire approuvé par le PCI SSC (ASV), et vérifie la présence de vulnérabilités connues. Le test d’intrusion de l’exigence 11.4 est une démarche manuelle qui cherche à enchaîner les défauts pour atteindre l’environnement des données de cartes. Les deux sont demandés, ils ne répondent pas à la même question, et nous ne réalisons que le second.
Pour comprendre avant de décider
- ArticleComparer des devis de test d’intrusion : la grille en neuf pointsPérimètre, jours-homme, boîte noire ou grise, rôles testés, contre-audit, livrables, qualification, cadre et prix : la grille qui rend deux devis comparables autrement que par leur total.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
Quelles prestations s’y associent ?
Pentest web
Savoir ce qu’un attaquant obtiendrait sur votre application.
2 à 15 jours selon le périmètredès 1 490 €
Pentest interne
Simuler ce qui se passe après l’ouverture de la première pièce jointe.
3 à 12 joursdès 2 400 €
Accompagnement ISO 27001
Construire un système de management de la sécurité que l’audit trouvera réel.
6 à 12 mois du cadrage à l’audit de certification, selon le point de départdès 1 900 €
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Pentest de conformité » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse