Test d'intrusion (pentest)

Le test d'intrusion consiste à reproduire, dans un cadre contractuel et limité dans le temps, la démarche d'un attaquant contre un site, une application, un réseau ou une infrastructure. Contrairement à un audit de configuration ou à un simple scan automatique, l'auditeur tente d'exploiter les vulnérabilités détectées pour mesurer leur impact réel, puis les documente dans un rapport priorisé avec des recommandations de correction. Le périmètre, les méthodes autorisées, les dates et les personnes à prévenir sont fixés au préalable dans une convention d'autorisation écrite : sans elle, une intrusion est illégale. On distingue le test en boîte noire (sans information préalable), en boîte grise (avec un compte utilisateur) et en boîte blanche (avec accès à la documentation ou au code). En France, l'ANSSI qualifie des prestataires d'audit de la sécurité des systèmes d'information (PASSI), notamment pour les tests d'intrusion. Cette qualification est exigée pour certains organismes publics et opérateurs d'importance vitale ; elle n'est pas requise pour la plupart des PME, qui doivent en revanche vérifier le cadre, la méthode et les livrables proposés par le prestataire.