En bref
Pour choisir un prestataire de test d’intrusion, vérifiez d’abord si une qualification vous est imposée, par exemple PASSI pour certains opérateurs, puis jugez le travail sur pièces : méthode écrite, extrait de rapport anonymisé ou fictif, règles d’engagement, assurance et confidentialité. Une qualification atteste d’un référentiel d’exigences ; elle ne dit pas que la mission sera adaptée à votre application. Méfiez-vous de toute promesse d’absence de vulnérabilité et de tout rapport sans preuves.
Qu’est-ce que PASSI, et faut-il un prestataire qualifié ?
PASSI : définition signifie prestataire d’audit de la sécurité des systèmes d’information. C’est une qualification délivrée par l’ANSSI, l’agence nationale de la sécurité des systèmes d’information, à des prestataires qui satisfont à un référentiel d’exigences. Elle couvre plusieurs activités d’audit : audit d’architecture, de configuration, de code source, tests d’intrusion et audit organisationnel et physique.
Elle devient obligatoire dans certains cas, notamment pour des audits imposés à des opérateurs soumis à une réglementation sectorielle, et elle est parfois exigée par un appel d’offres ou un donneur d’ordre. Si c’est votre cas, c’est une condition de recevabilité : vérifiez-la dans les documents qui vous sont opposables, et consultez la liste publiée par l’ANSSI pour confirmer qu’un prestataire est bien qualifié pour l’activité visée.
Si aucune obligation ne vous l’impose, la qualification reste un critère parmi d’autres, utile pour juger le sérieux d’une organisation, mais qui n’assure pas l’adéquation d’une mission à votre application.
Quelles questions poser avant de signer ?
- « Pouvez-vous me montrer un extrait de rapport anonymisé ou un exemple fictif ? » Les deux conviennent, la confidentialité interdisant souvent de montrer un vrai rapport ; Reconmind publie lui-même un exemple fictif sur sa page « Exemple de rapport ». C’est le test le plus rapide : on y voit si les constats portent une requête, une réponse et un impact.
- « Qui fait le travail ? » Qui conduit les tests, qui relit, et si une partie est sous-traitée. Le nom du vendeur n’est pas celui de l’analyste.
- « Quelle part est automatisée ? » Un scan fait partie d’une bonne mission, mais ne doit pas en être le livrable.
- « Que se passe-t-il si vous trouvez un défaut critique pendant la mission ? » La réponse attendue : une alerte immédiate, sans attendre le rapport.
- « Quelles sont vos règles d’engagement ? » Autorisation écrite, périmètre, interdits (déni de service, actions destructives), points de contact, arrêt immédiat sur demande.
- « Comment protégez-vous mes données ? » Stockage des preuves, chiffrement, durée de conservation, destruction en fin de mission.
- « Êtes-vous assuré ? » Une assurance de responsabilité couvrant l’activité, dont vous pouvez demander l’attestation.
- « Que comprend le prix ? » Contre-test des correctifs, restitution, nombre de jours, ce qui est facturé en plus.
Quels signaux d’alerte repérer dans une offre ?
- Un prix qui ne dit pas le nombre de jours, ni ce qu’il couvre : sans périmètre, un prix n’a pas de sens.
- Une offre de « pentest automatisé » sans analyste identifié.
- Une garantie de sécurité ou une promesse d’absence de vulnérabilité à l’issue de la mission.
- Aucune demande d’autorisation écrite ou aucun cadrage avant de commencer.
- Un rapport type, identique pour tous les clients, présenté comme preuve de savoir-faire.
- Un refus de décrire la méthode au motif du secret.
Le cas particulier des tests réglementaires
Certaines réglementations encadrent le choix du testeur. Le règlement européen DORA : définition, par exemple, impose pour les tests d’intrusion fondés sur la menace des testeurs répondant à des critères précis de compétence, de certification ou de code de conduite, et d’assurance indépendante (article 27). Pour NIS 2 : définition, la directive demande de mesurer l’efficacité des mesures de gestion des risques, sans désigner un type de prestataire : vérifiez la transposition nationale applicable.
Dans tous les cas, la règle est la même : lisez ce qui vous est imposé avant de comparer les offres. Une offre moins chère qui ne satisfait pas l’exigence vous coûtera deux missions au lieu d’une.
Comment comparer deux devis de façon utile ?
Comparez deux devis sur ce que le prix achète plutôt que sur son total. Ramenez chaque offre à des éléments comparables : nombre de jours d’analyste, périmètre exact, niveau d’information fourni, nombre de rôles testés, livrables, contre-test inclus ou non, restitution orale incluse ou non.
Une offre bien moins chère que les autres cache presque toujours un de ces trois écarts : moins de jours que nécessaire, un périmètre plus étroit que celui que vous croyez, ou une part d’automatisation qui ne dit pas son nom. Demandez au prestataire de justifier le nombre de jours par rapport à votre périmètre.
Enfin, évaluez l’interlocuteur. Un prestataire qui pose des questions précises au cadrage sur vos rôles, vos données et vos contraintes d’exploitation travaille généralement mieux qu’un prestataire qui envoie un devis sans vous avoir écouté. Le cadrage est le premier échantillon du travail à venir.
À retenir
- 1PASSI est une qualification de l’ANSSI : elle est imposée dans certains cas, et n’assure pas à elle seule l’adéquation d’une mission.
- 2Le test le plus rapide : demander un extrait de rapport anonymisé ou un exemple fictif et regarder si les constats portent preuve et impact.
- 3Lisez ce qui vous est opposable avant de comparer les prix.
- 4Reconmind ne revendique pas de qualification PASSI et le dit dès le cadrage si votre contexte l’exige.
Sources citées
- SP 800-115, Technical Guide to Information Security Testing and Assessment, NIST
- Web Security Testing Guide, OWASP Foundation
- Regulation (EU) 2022/2554 (DORA), article 27 : requirements for testers for the carrying out of TLPT, Parlement européen et Conseil de l’Union européenne (EUR-Lex)
Comment juger une méthode et des références ?
Une méthode sérieuse s’appuie sur des référentiels publics et se lit : le guide NIST SP 800-115 pour la structure d’une évaluation, le Web Security Testing Guide de l’OWASP pour les applications web. Demandez lesquelles des familles de vérifications seront couvertes et comment.
Les références clients sont utiles mais souvent confidentielles. À défaut de noms, demandez le type d’organisation, le type d’application et le type de défaut trouvé. Et méfiez-vous de l’inverse : un prestataire qui ne cite que des noms prestigieux sans pouvoir décrire ce qu’il y a fait.