Votre dernier test d'intrusion date de quand ?
Votre surface d'attaque change chaque mois, votre rapport de pentest non. Pourquoi et comment retester vos applications, votre infrastructure et votre cloud.
Votre dernier test d'intrusion date de quand ? Depuis, vous avez sans doute ajouté une application, ouvert un accès à un prestataire, migré un service vers le cloud ou connecté un nouvel outil à votre messagerie. Votre surface d'attaque a changé. Votre rapport, lui, n'a pas bougé.
Un test d'intrusion est une photographie à un instant donné. Il dit ce qui était exploitable le jour du test, sur le périmètre testé. Il ne dit rien des changements intervenus depuis.
Ce qui change entre deux audits
Dans les organisations que nous accompagnons, les évolutions les plus risquées sont rarement des projets majeurs. Ce sont des changements du quotidien :
- une nouvelle application web ou une nouvelle API exposée sur Internet
- un accès distant ouvert pour un prestataire, puis jamais refermé
- une migration vers le cloud réalisée dans l'urgence
- un outil SaaS connecté à Microsoft 365 avec des droits larges
- une fusion, un nouveau site, une nouvelle filiale
Chacun de ces changements peut ouvrir un chemin qu'un attaquant saura trouver.
Ce que nous testons
Chez SoYa Cyber, nous attaquons vos systèmes comme le ferait un adversaire, sur l'ensemble de votre surface :
- Applications web, API et mobiles : authentification, contrôle d'accès, logique métier
- Active Directory et infrastructure : chemins d'escalade de privilèges, mouvements latéraux
- Cloud et Microsoft 365 : configurations, identités, accès des applications tierces
- Red Team : quand il faut aussi éprouver votre capacité à détecter et à réagir
Nos missions sont dirigées par seize ans d'expérience en sécurité offensive, dans la banque, le nucléaire, le spatial, la défense et pour une majeure partie des sociétés du CAC 40.
Deux lectures pour un même rapport
Chaque constat est expliqué deux fois : une fois pour vos équipes techniques, avec des preuves reproductibles et des correctifs précis, et une fois pour votre direction, avec l'impact métier et les priorités. Un rapport que seuls les techniciens comprennent ne déclenche pas de décision.
Et nous ne disparaissons pas après la livraison. Nous restons jusqu'à ce que les failles soient fermées, et nous rejouons les attaques pour vérifier que les correctifs tiennent.
À quelle fréquence retester ?
Il n'existe pas de règle unique, mais quelques repères :
- au moins une fois par an sur les systèmes exposés et critiques
- après chaque évolution majeure : nouvelle application, migration, fusion
- avant une certification ou un audit client exigeant
Un audit qui rassure ne protège personne. Un audit à jour, si. Écrivez-nous pour planifier votre prochain test d'intrusion.