Guide · Test d’intrusion · Val-de-Marne
Une entreprise prépare la présentation de ses comptes et de ses outils à un investisseur, et le dossier technique demande une preuve de sécurité. Le scan réalisé l’an dernier a produit une liste de failles impossible à trier. Cette page explique ce qu’un test d’intrusion apporte à ce moment précis, ce qu’il exige pour être utile et ce qu’il ne peut pas garantir.
Sommaire
Le test d’intrusion, c’est quoi ?
Un test qui vérifie ce qui est réellement exploitable
Un test d’intrusion charge un auditeur de vérifier à la main quelles failles d’un périmètre peuvent réellement être exploitées par une personne malveillante. Il ne se contente pas de compter les versions anciennes ni de relever les ports ouverts. L’auditeur travaille dans le cadre d’une autorisation écrite et de limites convenues avec l’entreprise.
Un rapport qui sert à décider
Le livrable est un rapport de failles prouvées, classées par gravité, accompagnées des corrections à mener. Il ne vaut que si ces corrections sont ensuite appliquées, puis contrôlées. Un test ne prouve pas l’absence de faille : il établit les failles trouvées à un instant donné, dans un périmètre donné.
Les situations qui déclenchent une demande
- Une refonte du réseau jamais éprouvée : les nouveaux équipements tournent, mais personne n’a vérifié leur solidité.
- Un assureur qui pose la question : le questionnaire demande des preuves de tests de sécurité, pas des déclarations d’intention.
- Des comptes de démonstration toujours actifs : des accès créés pour une présentation restent ouverts en production.
- Un client qui réclame un rapport : le donneur d’ordre veut savoir quel périmètre a été testé, et quand.
Contexte local · Val-de-Marne
Contexte local : le test d’intrusion dans le Val-de-Marne
Le Val-de-Marne est un département de la petite couronne, bordé par Paris, les Hauts-de-Seine et la Seine-Saint-Denis. Deux pôles y sont identifiés : le Marché international de Rungis et l’Aéroport de Paris-Orly. Vincennes, présente sur ce site, est associée au Château de Vincennes et au Bois de Vincennes.
Ces lieux ne posent pas les mêmes questions pour un test. Une entreprise qui travaille avec des acteurs installés à Rungis, ou avec la plateforme d’Orly, peut avoir des systèmes partagés avec des partenaires, des accès de tiers et des outils de suivi exposés. Avant de définir le périmètre, listez ces liens, car chacun peut demander l’accord d’un tiers.
Si l’entreprise a un bureau à Vincennes et un second site à Paris ou en Seine-Saint-Denis, la convention doit dire si les réseaux communiquent. Un réseau commun se teste comme un ensemble, avec des plages horaires précises ; un réseau séparé se traite à part. Dans un bâtiment d’activité, les règles d’un opérateur ou d’un hébergeur peuvent aussi conditionner la date du test : vérifiez-les avant de fixer la première tentative.
- Repères
- Marché international de Rungis, Aéroport de Paris-Orly
- Zones voisines
- Paris, Hauts-de-Seine, Seine-Saint-Denis
Bien choisir son prestataire
Avant de signer, l’entreprise peut poser ces questions au prestataire. Le cadre écrit précède-t-il les essais ? Le rapport détaille-t-il la preuve de chaque faille ? Une relecture avec les équipes techniques est-elle prévue ? Quand le contexte l’exige, la qualification PASSI de l’auditeur se contrôle sur la liste publiée par l’ANSSI.
Ce que comprend une prestation
Le cadrage préalable
Le prestataire réunit le responsable des systèmes pour délimiter ce qui sera testé : adresses, applications, comptes, sites, exclusions et horaires. La convention signée autorise les tests, fixe leurs limites et prévoit les accords nécessaires auprès des hébergeurs.
Les tests proprement dits
Un test externe s’attaque aux services exposés sur internet. Un test interne suppose un point d’appui dans le réseau, par exemple un poste compromis, et examine les droits de l’annuaire et les passages entre serveurs. Un test applicatif porte sur les formulaires, les sessions et la séparation des profils. Chaque faille exploitée est documentée avec sa preuve.
Le rapport et le suivi
Le rapport classe les failles par gravité et propose une correction pour chacune. Deux versions circulent : une synthèse pour la direction et un détail pour les équipes qui appliquent les correctifs. Un contre-test peut ensuite confirmer que les failles sont bien fermées.
Ce qui fait varier le prix
Le montant découle de la mission décrite dans la convention, et non d’un forfait universel :
- le nombre de services exposés et d’applications à examiner ;
- le choix entre test externe, interne, applicatif ou une combinaison ;
- ce que l’auditeur connaît du système avant de commencer ;
- les profils d’utilisateurs à tester dans un même logiciel ;
- les horaires imposés et la présence d’un contre-test.
À périmètre identique, la différence tient surtout au rapport : sa profondeur, et l’accompagnement proposé pour sa restitution.
Les étapes de votre demande dans le Val-de-Marne
- Lister les systèmes exposés et les liens avec des partenaires.
- Définir le niveau d’information donné à l’auditeur.
- Signer la convention avant toute tentative.
- Recevoir le rapport et répartir les corrections.
- Organiser le contre-test une fois les corrections appliquées.
Pour approfondir, la page test d’intrusion détaille la mission complète, la page test d’intrusion à Vincennes présente une commune du département, et les pages Paris et Hauts-de-Seine couvrent les départements voisins. Pour démarrer, décrivez votre besoin dans le formulaire : un spécialiste des tests d’intrusion dans le Val-de-Marne vous recontacte, gratuitement et sans engagement.