Pentest et conformité : NIS2, ISO 27001, SOC 2
Beaucoup d'audits commencent par une demande extérieure : un client qui veut un rapport, un auditeur de certification, une nouvelle réglementation. Le pentest sert alors deux objectifs : réduire le risque réel, et produire une preuve acceptée par celui qui la demande.
NIS2
La directive européenne NIS2 élargit fortement le nombre d'entreprises soumises à des obligations de cybersécurité, y compris des ETI et des PME de secteurs jusque-là peu concernés. Elle impose une gestion des risques et l'évaluation de l'efficacité des mesures de sécurité. Un pentest régulier est l'un des moyens les plus directs de démontrer cette évaluation.
ISO 27001
La version 2022 de la norme demande de gérer les vulnérabilités techniques (mesure 8.8) et de tester la sécurité pendant le développement et la recette (mesure 8.29). L'auditeur de certification attend des preuves : un rapport de pentest daté, avec un plan de remédiation suivi, en est une.
SOC 2
Les critères SOC 2 n'imposent pas nommément un pentest, mais la plupart des auditeurs s'attendent à en voir un, au moins annuel, pour étayer la surveillance des contrôles. C'est souvent la première question des clients américains.
Questionnaires sécurité et appels d’offres
Un grand compte vous envoie un questionnaire de 200 questions, dont « Date de votre dernier test d'intrusion ? ». Un rapport récent, avec une synthèse partageable et la preuve de correction (contre-audit), répond à cette question et rassure sur les autres.
Ce qui rend le rapport utile pour un auditeur
- Un périmètre et des dates clairement indiqués.
- Une méthodologie reconnue citée (OWASP, PTES) et une notation CVSS.
- Une synthèse séparée, partageable avec un client sans divulguer les détails techniques.
- Un contre-audit qui prouve que les failles ont été corrigées.
PASSI et assurance
Dungeon Data n'est pas qualifié PASSI. Cette qualification de l'ANSSI est exigée pour les systèmes sensibles des opérateurs d'importance vitale et dans certains marchés publics ; elle est rarement demandée aux PME, éditeurs SaaS et ETI. Si votre contexte l'impose, je vous le dis dès le premier échange.
Questions fréquentes
À quelle fréquence faire un pentest pour rester conforme ?
Une fois par an est la pratique la plus courante pour l'ISO 27001 et SOC 2, et après chaque changement majeur (nouvelle application, migration, refonte). NIS2 demande une évaluation régulière sans fixer de fréquence unique.
Faites-vous l’accompagnement ISO 27001 complet ?
Non, je réalise la partie test technique. Pour la mise en place du système de management (politiques, analyse de risques), il vaut mieux un consultant spécialisé, avec qui je peux me coordonner.
Le rapport peut-il être partagé avec mon client ?
Oui, la synthèse est conçue pour ça. Le détail technique des vulnérabilités reste en principe interne, et vous décidez de ce que vous partagez.
Un audit à prévoir ?
Estimez votre audit en ligne en 2 minutes, ou réservez un échange. Vous repartez avec une fourchette de durée et de prix, sans engagement.
Faire un devis