Cybersécurité, tests d’intrusion et évaluation des vulnérabilités

Le cadre réglementaire

Les attaques informatiques ne concernent plus seulement les grandes organisations. Rançongiciels, vol d’identifiants, compromission de la messagerie d’entreprise et attaques passant par les fournisseurs frappent régulièrement les PME, souvent en exploitant des vulnérabilités connues depuis des mois et jamais corrigées. La question que la direction doit se poser n’est pas de savoir si l’entreprise est attaquable, mais dans quelle mesure, par où et avec quelles conséquences.

Les textes ont pris acte de cette réalité. L’art. 32 du RGPD impose des mesures de sécurité adaptées au risque et indique expressément, parmi celles à adopter le cas échéant, une procédure visant à tester, analyser et évaluer régulièrement l’efficacité des mesures techniques et organisationnelles. La directive NIS2, transposée en Italie par le décret législatif 138/2024, demande aux entités essentielles et importantes d’adopter des mesures de gestion des risques de cybersécurité et d’en évaluer l’efficacité (art. 24), avec des responsabilités directes des organes d’administration (art. 23). Les spécifications techniques et les échéances sont fixées par l’Agence nationale italienne pour la cybersécurité (ACN), qui veille sur leur mise en œuvre.

La norme ISO/IEC 27001:2022 compte parmi ses mesures la gestion des vulnérabilités techniques (A.8.8) et les tests de sécurité en développement et en recette (A.8.29), à réexaminer lors de la surveillance périodique du système. Dans le secteur financier, le règlement DORA introduit un programme périodique de tests de résilience opérationnelle numérique.

Notre approche

Un test de sécurité vaut ce que vaut sa préparation. La première phase est donc toujours la définition du périmètre : nous établissons avec l’entreprise quels systèmes comptent vraiment pour l’activité, quelles données doivent être protégées, quelles opérations ne peuvent pas s’arrêter. En découlent l’étendue des contrôles, le type de test et les règles d’engagement, formalisées dans une autorisation écrite et couvertes par un accord de confidentialité.

Nous distinguons clairement les deux instruments. L’évaluation des vulnérabilités est une photographie large et reproductible : analyse systématique, vérification manuelle des résultats, classement selon le CVSS. Le test d’intrusion est une investigation en profondeur : exploitation contrôlée des vulnérabilités pour mesurer les conséquences effectives d’une attaque, avec une approche boîte noire, grise ou blanche selon ce que nous savons des systèmes au départ. Nous suivons des méthodologies reconnues (PTES, NIST SP 800-115, OSSTMM) et, pour les applications, les standards OWASP.

Au-delà des domaines décrits plus haut, lorsque le contexte l’exige, nous étendons les contrôles aux environnements OT et IoT et, pour les organisations les plus mûres, à des exercices de red team qui mettent à l’épreuve l’ensemble de la capacité de détection et de réponse. Le travail ne s’achève pas avec le rapport : le retest et l’accompagnement dans la correction font partie du parcours.

Ce qui distingue notre service

• Deux niveaux de lecture : un rapport de synthèse que la direction peut lire et utiliser pour décider, un rapport technique dont les indications sont exécutables sans ambiguïté par la DSI.
• Intégration avec la conformité : nous relions les résultats des tests aux obligations du RGPD, de la NIS2 et d’ISO/IEC 27001, de sorte qu’une seule activité réponde à plusieurs exigences et laisse des preuves exploitables en audit et en certification.
• Résultats vérifiés à la main : les vulnérabilités signalées par les outils automatiques sont confirmées manuellement, débarrassées des faux positifs et documentées par une preuve de concept et un score CVSS.
• Accompagnement jusqu’à la fermeture : nous ne nous arrêtons pas à la liste des problèmes, nous restons aux côtés des équipes techniques jusqu’à ce que les vulnérabilités soient corrigées et vérifiées.