Audit de cybersécurité et test d'intrusion au Luxembourg : un état des lieux honnête.

Questions fréquentes sur l'audit et le test d'intrusion

Quelle différence entre un audit de cybersécurité et un test d'intrusion ?

L'audit compare vos pratiques à un référentiel, ISO 27001 ou les mesures de gestion des risques de l'article 21 de la directive NIS 2 : organisation, procédures, configurations. Il dit où vous en êtes. Le test d'intrusion simule une attaque sur un périmètre précis (site web, espace client, application mobile) pour trouver les failles réellement exploitables. Il dit par où un attaquant entrerait. Les deux se complètent : l'audit fixe la feuille de route, le test d'intrusion la vérifie sur le terrain.

Que couvre un audit de cybersécurité ?

Les politiques de sécurité et leur gouvernance, la gestion des accès et l'authentification à plusieurs facteurs, les sauvegardes et la continuité des activités, la gestion des incidents, la sécurité des prestataires, et le paramétrage de votre bureautique cloud (Microsoft 365 ou Google Workspace : partage externe, règles de transfert, applications tierces, journalisation, comptes dormants, droits d'administration). Le référentiel le plus fréquent est ISO 27001 : notre page ISO 27001 au Luxembourg décrit le parcours jusqu'à la certification.

Que contient le rapport remis ?

Les vulnérabilités et les écarts classés par gravité ; pour chacun, la manière dont un attaquant pourrait l'exploiter, la correction recommandée et l'effort estimé ; puis un plan d'action priorisé selon le risque réel. Un document court et orienté action, pas un rapport de 200 pages. Une nouvelle vérification est incluse une fois vos corrections faites.

NIS 2 et DORA imposent-ils des audits ou des tests ?

NIS 2 exige des politiques et des procédures pour évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité (article 21, paragraphe 2, point f). DORA impose aux entités financières, hors microentreprises, un programme de tests de résilience opérationnelle numérique (article 24) : au moins une fois par an, des tests appropriés de tous les systèmes et applications de TIC qui soutiennent des fonctions critiques ou importantes. Les tests possibles, de l'évaluation des vulnérabilités au test d'intrusion, sont énumérés à l'article 25. Les entités identifiées par leur autorité réalisent en outre, au moins tous les trois ans, un test de pénétration fondé sur la menace (TLPT, article 26), mené par des testeurs qui remplissent les exigences de l'article 27.

Comment se déroule un test d'intrusion ?

Nous convenons d'abord du périmètre testé et des conditions du test, puis nous simulons l'attaque. Vous recevez la liste des failles trouvées, la manière dont un attaquant pourrait les exploiter et la façon de les corriger. Une nouvelle vérification est incluse une fois les corrections faites. Pour un TLPT au sens de DORA, le cadrage est sur mesure : contactez-nous.

Combien coûte un test d'intrusion ?

Le prix dépend du périmètre : nombre d'applications et d'adresses à tester, tests avec ou sans compte utilisateur, profondeur attendue. Vous configurez le devis en ligne, poste par poste, et recevez une proposition sous 24 heures ouvrées. Nos autres prestations au Luxembourg (CISO externalisé, surveillance du dark web, anti-espionnage) sont présentées sur la page Cybersécurité au Luxembourg.