Comment se déroule un audit
Un pentest utile, c'est un périmètre clair, des tests sans mauvaise surprise pour la production, et un rapport que vos équipes peuvent appliquer. Voici le déroulé type d'une mission.
Les étapes
- 1
Échange de cadrage
30 minutes pour comprendre votre contexte : ce qu’il faut protéger, pourquoi maintenant (client, NIS2, certification…), et ce qui est dans le périmètre. Vous recevez ensuite un devis.
- 2
Convention d'audit
Un document signé qui fixe le périmètre exact, les dates, les adresses IP de test, les actions exclues et les contacts d’urgence. Il protège les deux parties : sans autorisation écrite, pas de test.
- 3
Tests
La phase technique, de 1 à 10 jours selon le périmètre. Une vulnérabilité critique est signalée immédiatement, sans attendre le rapport.
- 4
Rapport
Livré en PDF, en français ou en anglais. Voir sa structure ci-dessous.
- 5
Restitution
Une réunion avec vos équipes pour présenter les résultats, répondre aux questions et prioriser les corrections.
- 6
Contre-audit
Une fois les corrections faites, je vérifie qu’elles sont efficaces et je mets le rapport à jour. Utile pour prouver la correction à un client ou à un auditeur.
Ce que contient le rapport
- Synthèse pour la direction
- Deux pages lisibles sans bagage technique : niveau de risque global, points critiques, priorités.
- Périmètre et conditions
- Ce qui a été testé, quand, depuis où, avec quels accès.
- Une fiche par vulnérabilité
- Description, preuve (captures, requêtes), score CVSS, impact concret pour votre activité, correction recommandée adaptée à vos technologies.
- Plan de remédiation
- Les corrections classées par priorité et par effort.
Exemple de fiche vulnérabilité
Exemple fictif, rédigé pour illustrer le format. Aucun client réel.
- Constat
- L'API de téléchargement des factures vérifie que l'utilisateur est connecté, mais pas que la facture demandée appartient à son entreprise.
- Impact
- Tout client connecté peut lire les factures des autres clients : noms, adresses, montants. Fuite de données personnelles au sens du RGPD.
- Preuve
- Requêtes et captures d’écran fournies en annexe, sur deux comptes de test fournis pour l’audit.
- Correction
- Contrôler côté serveur que la facture appartient à l'organisation de l'utilisateur, pour chaque requête. Ajouter un test automatisé sur ce contrôle.
Référentiels
- OWASP Web Security Testing Guide : pour les applications web et les API.
- PTES (Penetration Testing Execution Standard) : pour le déroulé général de la mission.
- CVSS : pour noter la gravité de chaque vulnérabilité de façon standard et prioriser les corrections.
- Recommandations ANSSI et CIS Benchmarks : pour l’Active Directory et le cloud.
Et pendant les tests ?
Vous avez un interlocuteur unique, joignable pendant toute la mission. Les tests suivent les plages horaires convenues. Si quelque chose d'inattendu se produit, je m'arrête et je vous appelle.
Un audit à prévoir ?
Estimez votre audit en ligne en 2 minutes, ou réservez un échange. Vous repartez avec une fourchette de durée et de prix, sans engagement.
Faire un devis