Guide
Audit, scan de vulnérabilités ou test d’intrusion : que commander
Un scan automatisé liste des failles probables, un audit les classe et dit quoi corriger, un test d’intrusion prouve ce qu’un attaquant pourrait en faire. Voici les définitions de l’ANSSI, ce que doit contenir un rapport, et ce que le RGPD et l’ISO 27001 imposent vraiment.
Mis à jour le 18 octobre 2026 · Les chiffres sont sourcés en bas de page ; les appréciations sont celles d’IT CyberWall.
Trois prestations qu’on confond
| Prestation | Ce qu’elle fait | Ce que vous recevez |
|---|---|---|
| Scan de vulnérabilités | Un outil interroge automatiquement vos machines et compare ce qu’il voit à une base de failles connues. | Une liste de failles probables, souvent longue, à trier. |
| Audit de sécurité | Des auditeurs examinent votre architecture, vos configurations, votre code ou votre organisation. | Un rapport qui classe les failles et dit quoi corriger d’abord. |
| Test d’intrusion | Des auditeurs se mettent dans la peau d’un attaquant et vérifient qu’une faille est réellement exploitable, et avec quel impact[1]. | La preuve de ce qu’un attaquant pourrait faire, étape par étape. |
Les cinq types d’audit selon l’ANSSI
Le référentiel des prestataires d’audit qualifiés (PASSI) distingue cinq activités[1] :
- Audit d’architecture : le choix et le positionnement des équipements, les liaisons avec internet et avec les réseaux tiers.
- Audit de configuration : les réglages des équipements réseau, des systèmes, des applications et des produits de sécurité.
- Audit de code source : les failles dans le code d’une application.
- Test d’intrusion : l’exploitation des failles dans des conditions réelles d’attaque.
- Audit organisationnel et physique : la gouvernance, les procédures, la sécurité des locaux.
Ce que doit contenir le rapport
Le référentiel PASSI fixe le contenu d’un rapport d’audit[1]. C’est une bonne grille pour juger n’importe quel rapport :
- une synthèse compréhensible par des non-experts : contexte, périmètre, failles critiques et appréciation du niveau de sécurité ;
- un tableau des vulnérabilités classées selon leur impact et leur facilité d’exploitation ;
- des recommandations reliées à chaque faille, classées par criticité et par coût ;
- pour un test d’intrusion, le déroulé du test et la méthode employée ;
- les limites : ce qui n’a pas pu être couvert, et les phases réalisées par des outils automatiques.
Un rapport qui n’est qu’une sortie d’outil, sans synthèse ni priorités, ne vous aidera pas à décider.
Ce que la loi impose, et ce qu’elle n’impose pas
- Le RGPD demande, pour les traitements de données personnelles, « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures » de sécurité (article 32), avec un niveau adapté au risque[2]. Il n’impose pas nommément un audit ni un test d’intrusion : c’est à vous de choisir une procédure proportionnée.
- La norme ISO/IEC 27001 est une norme volontaire : une entreprise décide elle-même de se faire certifier[3]. Elle n’est pas une obligation légale, même si un client peut l’exiger par contrat.
- Une qualification PASSI n’est obligatoire que lorsqu’un texte ou un contrat l’exige. Elle se vérifie sur le site de l’ANSSI.
Toujours une autorisation écrite
Un test d’intrusion consiste à attaquer des systèmes : il ne se fait qu’avec l’accord écrit de leur propriétaire. Le référentiel PASSI prévoit une convention signée avant l’audit et, pour un test d’intrusion, une fiche d’autorisation signée par le commanditaire, l’audité et les tiers concernés (votre hébergeur, par exemple), qui liste les cibles, les dates et les heures[1].
Que commander ?
| Votre situation | Ce qui convient |
|---|---|
| Vous ne savez pas où vous en êtes | Un audit d’architecture et de configuration, avec une synthèse pour la direction. |
| Vous voulez suivre l’évolution dans le temps | Un scan régulier, en complément d’un audit, jamais à sa place. |
| Un site ou une application exposés sur internet | Un test d’intrusion sur ce périmètre. |
| Un client ou un appel d’offres exige une preuve | Lisez l’exigence : qualification PASSI, certification ISO 27001 ou simple rapport d’audit ne sont pas la même chose. |
Nos audits sont décrits sur la page Audit de sécurité.
Vous ne savez pas quoi commander ?
Décrivez votre contexte et ce qu’on vous demande : nous vous disons quel type d’audit convient.
Sources
Sources consultées le 18 octobre 2026. Les tarifs des fournisseurs sont indiqués hors taxes, dans la devise et la région de la grille publiée, et peuvent évoluer : vérifiez toujours la page officielle avant de décider.
- ANSSI – Prestataires d’audit de la sécurité des systèmes d’information (PASSI), référentiel d’exigences v2.1-a (1er septembre 2023) — cyber.gouv.fr/sites/default/files/document/R%C3%A9f%C3%A9rentiel%20PASSI%20%E2%80%93%20version%202.1-a%20%E2%80%93%20sans%20marque%20de%20r%C3%A9vision.pdf
- CNIL – Règlement européen sur la protection des données, chapitre 4 (article 32) — www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- ISO – ISO/IEC 27001, Information security management systems — www.iso.org/isoiec-27001-information-security.html