ComparaisonAudit, pentest, test d'intrusion, red team :
Audit, pentest, test d'intrusion, red team :
qui fait quoi ?
En France, les termes sont souvent confondus. Un audit n'est pas un pentest, un pentest n'est pas un red team. Chaque approche a un périmètre, un coût et une valeur réglementaire distincts. Voici comment s'y retrouver.
Les approches comparées
| Critère | Audit passif | Test d'intrusion (pentest) |
|---|---|---|
| Méthode | Observation et analyse depuis l'extérieur, sans accès | Attaque simulée avec autorisations formelles |
| Synonymes courants | Audit de sécurité, audit applicatif, revue de sécurité | Pentest, penetration testing, test de pénétration |
| Autorisation requise | Aucune (lecture seule, surface publique) | Obligatoire (contrat, périmètre, règles d'engagement) |
| Durée typique | 1 à 5 jours | 2 à 6 semaines |
| Coût PME | 1 900 à 4 200 € | 5 000 à 25 000 € |
| Ce qui est testé | Surface d'exposition, APIs, authentification, données accessibles, configuration | Résistance aux attaques actives, exploitation de failles, escalade |
| Impact sur la production | Zéro | Risque de perturbation (maîtrisé) |
| Rapport | Preuves reproductibles, contexte RGPD, remédiation | Chemins d'attaque, exploitation documentée |
| Valeur réglementaire | Preuve de diligence RGPD (Art. 32) | Exigé par DORA, PCI-DSS (niveaux avancés), certaines assurances |
| Red team (variante avancée) | Sans objet | Version étendue : attaque multi-vecteur (phishing, technique, physique), cible l'organisation entière |
Commencez par la revue externe si...
- Vous n'avez jamais fait auditer votre application
- Vous n'avez pas d'équipe sécurité dédiée
- Vous avez besoin de résultats rapides et exploitables
- Vous devez justifier d'une démarche de sécurité (RGPD, client, investisseur)
- Votre budget ne permet pas un pentest formel
- Vous voulez identifier ce qui est exposé avant de tester la résistance
Passez au pentest si...
- Les failles d'exposition sont corrigées et vous voulez tester en profondeur
- Votre secteur exige un test d'intrusion formel (DORA, PCI-DSS, assurance cyber)
- Vous préparez une certification ISO 27001 ou SOC 2
- Vous avez une équipe technique capable d'encaisser des tests actifs
- Vous voulez simuler un scénario d'attaque réaliste de bout en bout