La question nous est posée à presque chaque cadrage : « faut-il un scanner en continu ou un pentest une fois par an ? » Elle est mal posée. Les deux approches ne cherchent pas la même chose et ne trouvent pas les mêmes failles. L'arbitrage utile porte sur la répartition du budget entre elles, et sur le périmètre confié à chacune.
Remettre le vocabulaire d'aplomb
Quatre prestations sont couramment vendues sous le même mot. Les distinguer suffit souvent à résoudre l'arbitrage.
Le scan de vulnérabilités compare l'état d'un système à une base de failles connues. Il est automatisable, répétable, peu coûteux à l'unité, et produit des faux positifs.
La gestion continue de l'exposition ajoute au scan la découverte permanente des actifs exposés et le suivi de leur remédiation dans le temps. Sa valeur est dans la continuité, pas dans la profondeur.
Le test d'intrusion est une démarche humaine, bornée dans le temps, qui vise à démontrer l'exploitabilité réelle d'une faiblesse et l'impact atteignable en enchaînant plusieurs failles individuellement mineures.
L'audit de configuration ou d'architecture, enfin, examine le système depuis l'intérieur, avec accès aux paramètres et aux documents. Il trouve des choses qu'aucun test en boîte noire ne trouvera jamais — et c'est souvent la prestation la plus rentable pour une PME.
Ce que chaque approche détecte
| Type de faiblesse | Outillage automatisé | Expertise humaine |
|---|---|---|
| Composant non corrigé, version obsolète | Très efficace, en continu | Efficace mais coûteux |
| Service exposé par erreur | Très efficace | Efficace |
| Défaut de logique métier (contourner une validation, accéder au dossier d'un autre client) | Quasi nul | C'est son terrain principal |
| Enchaînement de failles mineures vers un impact majeur | Non | Oui |
| Faiblesse d'architecture (segmentation, gestion des privilèges) | Non | Oui, via l'audit d'architecture |
| Évaluation de l'impact métier réel | Non | Oui |
Le tableau explique l'erreur la plus répandue : payer une prestation humaine coûteuse pour se faire remettre une liste de composants non à jour qu'un scan hebdomadaire aurait signalée gratuitement. À l'inverse, s'en remettre au seul outillage revient à ignorer toute une classe de vulnérabilités — celles qui tiennent à la logique de vos applications et à la manière dont vos droits sont organisés.
Le contexte français confirme l'utilité de l'automatisation sur son propre terrain. Le panorama de la cybermenace 2025 de l'ANSSI souligne que les équipements de sécurité de bordure ont été affectés par de nombreuses vulnérabilités, et que leur compromission répétée a largement mobilisé les équipes de réponse à incident, mettant en évidence les enjeux de la gestion des vulnérabilités. Détecter rapidement qu'un équipement exposé est vulnérable relève typiquement du suivi continu, pas de la mission annuelle.
Un cycle annuel réaliste
Voici la répartition que nous proposons le plus souvent à une PME ou une ETI disposant d'un système d'information standard et d'une ou deux applications exposées.
En continu. Découverte des actifs exposés et scan de vulnérabilités, avec un seuil d'alerte sur les failles critiques. Objectif : que l'écart entre la publication d'une vulnérabilité critique sur un produit exposé et sa détection chez vous se compte en jours, pas en mois.
Une fois par an. Un test d'intrusion humain sur le périmètre à plus fort enjeu — généralement l'application métier exposée à Internet, ou le système d'information interne en scénario « poste compromis ». Le choix entre ces deux périmètres se fait à partir de l'analyse de risque, pas à partir de l'habitude.
Tous les deux ans, ou à chaque changement majeur. Un audit d'architecture ou de configuration sur le socle : annuaire, segmentation réseau, environnement cloud. C'est la prestation qui produit le plus de mesures structurantes par jour d'intervention.
À chaque mise en production significative. Une revue ciblée. Un test d'intrusion réalisé six mois avant la refonte d'une application ne dit plus rien de l'application en service.
Un mot sur le scénario « poste compromis ». Il correspond à la situation la plus fréquente dans la réalité : l'attaquant a obtenu un accès par hameçonnage ou via un compte sans authentification forte, et cherche à s'étendre. Tester l'externe seul répond à une question que l'attaquant ne se pose plus depuis longtemps.
La question de la qualification PASSI
L'ANSSI délivre la qualification PASSI — prestataires d'audit de la sécurité des systèmes d'information — qui atteste qu'un prestataire est habilité à réaliser des audits selon une ou plusieurs activités définies : audit d'architecture, audit de configuration, audit de code source, tests d'intrusion, audit organisationnel et physique. La liste des prestataires qualifiés et les référentiels d'exigences correspondants sont publiés par l'agence.
Deux points pratiques. D'une part, la qualification est délivrée par activité : un prestataire qualifié pour l'audit de configuration ne l'est pas nécessairement pour les tests d'intrusion. Demandez le périmètre exact. D'autre part, la qualification est obligatoire dans certains contextes réglementaires, et constitue ailleurs un repère de sérieux méthodologique — mais elle ne remplace pas la vérification de l'expérience sectorielle de l'équipe qui interviendra réellement chez vous.
Cinq erreurs de cadrage fréquentes
- Un périmètre trop large pour la durée achetée. Cinq jours sur quarante applications produisent un balayage superficiel. Mieux vaut cinq jours sur l'application qui porte le chiffre d'affaires.
- Un test en boîte noire par principe. Payer un prestataire pour découvrir ce que vous pouvez lui dire gratuitement revient à financer de la reconnaissance plutôt que de l'analyse. La boîte grise, avec comptes fournis et documentation, donne un bien meilleur rendement.
- Aucune plage d'intervention définie. Les tests conduits sur des systèmes en production nécessitent une fenêtre, un contact d'astreinte et une procédure d'arrêt d'urgence, formalisés dans la convention d'audit.
- Pas de test de rejeu. Sans vérification des corrections, le rapport reste une photographie sans suite. Prévoyez la contre-vérification dès la commande.
- Un rapport livré sans restitution. Une séance de restitution à deux niveaux — technique pour l'exploitation, synthèse d'impact pour la direction — change complètement le taux de correction observé.
Après le rapport : la partie qui compte
Le rendement d'un test d'intrusion se joue après la livraison. Sur ce plan, le constat de terrain est constant : les rapports qui restent dans une boîte de messagerie produisent zéro correction, quelle que soit la qualité du prestataire.
La méthode que nous appliquons consiste à ne jamais traiter un rapport comme un livrable final. Chaque constat est converti en une action datée, affectée, priorisée selon l'impact métier et non selon le score technique — un défaut de logique permettant d'accéder aux dossiers d'autres clients passe devant une version obsolète sans exposition réelle. Ces actions rejoignent le plan d'actions piloté dans GALEA, où elles sont rattachées aux contrôles de conformité concernés et suivies jusqu'au test de rejeu.
C'est aussi ce qui permet de répondre à la question que pose tout auditeur et tout assureur : non pas « avez-vous fait un pentest », mais « qu'avez-vous corrigé depuis le précédent, et comment le prouvez-vous ».
Sources
- ANSSI, référentiels d'exigences pour la qualification (dont PASSI)
- ANSSI, « L'ANSSI met à jour les référentiels PASSI (version 2.2) et PRIS (version 3.0) »
- ANSSI / CERT-FR, Panorama de la cybermenace 2025
- ENISA, Threat Landscape 2025
- ANSSI, Guide d'hygiène informatique
Liens consultés le 23 septembre 2026.
Questions fréquentes
Un scanner peut-il remplacer un test d'intrusion ?
Non, et l'inverse n'est pas vrai non plus. Le scan couvre en continu les vulnérabilités connues sur un large périmètre ; le test humain couvre en profondeur la logique applicative, l'enchaînement de failles et l'impact métier. Les deux traitent des classes de risque disjointes.
Faut-il obligatoirement un prestataire qualifié PASSI ?
C'est requis dans certains contextes réglementaires et c'est un repère utile ailleurs. Vérifiez dans tous les cas que la qualification couvre bien l'activité commandée — elle est délivrée activité par activité — et renseignez-vous sur l'expérience concrète de l'équipe affectée.
À quelle fréquence refaire un test d'intrusion ?
Annuellement pour un périmètre stable, et systématiquement après toute évolution majeure de l'application ou de l'architecture. Entre deux campagnes, c'est la surveillance continue qui prend le relais, pas l'attente.