Prix d'un audit de sécurité informatique et d'un test d'intrusion : à quoi s'attendre
Audit de sécurité, pentest, audit PASSI : ce qui est facturé, les facteurs de prix, la logique du jour-homme et comment comparer des propositions de prestataires.
Un audit de sécurité ou un test d'intrusion se facture presque toujours au nombre de jours d'expert multiplié par un tarif journalier, avec un forfait de cadrage et de rapport. Le prix final dépend donc du périmètre (une application, un réseau, toute l'entreprise), de la profondeur des tests et du niveau de qualification demandé. À titre purement illustratif, un test d'intrusion ciblé sur une application web peut mobiliser quelques jours d'expert, un audit d'organisation et d'architecture plus large une à plusieurs semaines. Seul un devis écrit sur un périmètre précis permet de connaître le coût réel.
Audit, test d'intrusion, scan de vulnérabilités : ne pas tout confondre
Ces termes sont souvent utilisés de façon floue dans les offres commerciales, ce qui fausse les comparaisons de prix.
| Prestation | Ce que fait le prestataire | Intensité humaine |
|---|---|---|
| Scan de vulnérabilités | Lance un outil automatisé qui liste des failles connues | Faible : l'essentiel est automatisé, avec une relecture |
| Test d'intrusion (pentest) | Tente d'exploiter les failles comme le ferait un attaquant, dans un cadre convenu | Élevée : travail manuel d'un expert |
| Audit d'architecture et de configuration | Examine les choix techniques, les paramètres, les flux réseau | Moyenne à élevée |
| Audit organisationnel | Évalue les processus, la gestion des accès, la gouvernance | Moyenne |
| Exercice de simulation de crise | Entraîne la direction et les équipes à réagir à un incident | Moyenne |
Un scan automatisé peu coûteux n'est pas équivalent à un pentest. Si un devis mentionne un « test d'intrusion » à un prix très bas, vérifiez qu'il ne s'agit pas d'un simple scan rebaptisé.
Comment se construit le prix
Le calcul est assez mécanique :
- Cadrage : réunion de préparation, définition du périmètre, des règles du jeu et des interlocuteurs.
- Réalisation : nombre de jours d'expert nécessaires aux tests ou à l'analyse.
- Rapport : synthèse pour la direction, détail technique pour les équipes, priorisation des corrections.
- Restitution : présentation des résultats et, parfois, contre-vérification après correction.
Le tarif journalier varie selon la séniorité des intervenants, la spécialité (application mobile, système industriel, infrastructure cloud) et le statut du prestataire. À titre indicatif, on rencontre fréquemment des tarifs de l'ordre de plusieurs centaines d'euros jusqu'à plus de mille euros par jour d'expert : c'est un ordre de grandeur d'illustration à confirmer par devis.
Exemple chiffré illustratif
Hypothèses : un pentest d'une application web de taille moyenne, estimé à 6 jours de réalisation, 1 jour de cadrage et 1,5 jour de rapport et restitution, soit 8,5 jours. À un tarif journalier supposé de 1 000 euros, le total ressort à 8 500 euros hors taxes. Si un contre-audit de vérification de 1 jour est ajouté, on arrive à 9 500 euros. Ces chiffres sont des hypothèses de calcul, non des prix constatés.
Les facteurs qui augmentent ou réduisent le coût
- Le nombre d'applications, d'adresses IP ou de sites inclus dans le périmètre.
- Le type de test : boîte noire (sans informations préalables), boîte grise (avec un compte utilisateur) ou boîte blanche (avec accès au code ou à la configuration). Plus l'information est partagée, plus le test est efficace pour un même nombre de jours.
- L'exigence de qualification : un audit réalisé par un prestataire d'audit de la sécurité des systèmes d'information qualifié (PASSI) par l'ANSSI répond à un référentiel précis, utile dans certains contextes réglementaires, et peut coûter plus cher.
- Les contraintes d'intervention : tests de nuit ou le week-end, environnement de production sensible.
- Le besoin d'un rapport destiné à un tiers : client, assureur, autorité.
Quand un audit est-il vraiment utile ?
Un audit n'est pas toujours la première dépense à engager. Si votre socle d'hygiène est absent (pas d'authentification forte, sauvegardes non testées), un pentest listera des évidences que vous pouvez corriger sans lui. Il devient pertinent dans les cas suivants :
- avant la mise en ligne d'une application manipulant des données sensibles ;
- après une évolution majeure de l'infrastructure ou une migration vers le cloud ;
- pour répondre à une exigence contractuelle ou à un questionnaire de sécurité d'un grand client ;
- après un incident, pour s'assurer que la porte d'entrée a été refermée ;
- à rythme régulier, par exemple chaque année, pour les systèmes critiques.
Comment comparer deux propositions
Demandez à chaque prestataire de répondre sur un cahier des charges écrit identique, puis comparez les points suivants :
- périmètre exact et exclusions ;
- méthodologie annoncée (référentiels suivis, type de test) ;
- nombre de jours et profil des intervenants ;
- contenu du rapport et exemples anonymisés de livrables ;
- engagement de confidentialité et assurance responsabilité civile professionnelle du prestataire ;
- inclusion ou non d'un contre-test après correction ;
- conditions de reproduction des failles et de remise des preuves.
Pour approfondir le choix du prestataire, lisez le guide sur la sélection d'un prestataire de cybersécurité.
Cadre juridique à ne pas négliger
Un test d'intrusion consiste à attaquer volontairement un système : il doit être autorisé par écrit par le propriétaire du système. Si votre infrastructure est hébergée chez un tiers (cloud, hébergeur), vérifiez les règles de test imposées par le fournisseur. Faites signer une lettre d'autorisation et un accord de confidentialité, car les données consultées pendant le test peuvent être sensibles. En cas de doute, faites relire les documents par un juriste.
Que faire du rapport ?
Le rapport n'a de valeur que s'il débouche sur des corrections. Prévoyez un plan d'action avec propriétaires, échéances et priorités, en traitant d'abord les failles critiques exposées sur Internet. Planifiez un contrôle après correction. Beaucoup d'entreprises dépensent pour l'audit puis ne budgètent rien pour les remédiations : prévoyez dès le départ une enveloppe pour corriger.
Questions fréquentes
Un audit gratuit est-il fiable ?
Certains dispositifs publics ou de branche proposent des diagnostics gratuits d'hygiène, utiles pour débuter. Une offre gratuite d'un fournisseur vise souvent à vendre un produit : lisez le périmètre et l'indépendance de l'analyse.
Un pentest peut-il casser mon système ?
Un test bien cadré limite les risques, mais un impact reste possible sur un système fragile. Convenez d'une fenêtre horaire, d'une procédure d'arrêt d'urgence et de sauvegardes préalables.
Faut-il refaire un audit chaque année ?
Pour les systèmes critiques ou fortement exposés, un rythme annuel et après chaque évolution majeure est courant. Pour une petite structure, un audit tous les deux ou trois ans combiné à une hygiène régulière peut suffire.
Sources et références
- ANSSI — référentiel et liste des prestataires d'audit qualifiés (PASSI).
- Cybermalveillance.gouv.fr — ressources et référencement de prestataires.
- CNIL — recommandations sur la sécurité des données personnelles.
