Ce que comprend un test d’intrusion et comment le préparer

Un test d’intrusion (pentest) simule, de façon contrôlée, l’attaque d’un tiers afin de trouver les vulnérabilités avant qu’un véritable attaquant ne le fasse.

Ce qu’il comprend

• Définition du périmètre : quels systèmes sont testés (applications web, API, applications mobiles, infrastructure) et ce qui est exclu.
• Règles d’engagement : dates, horaires, techniques autorisées et contacts d’urgence.
• Tests : reconnaissance, recherche de vulnérabilités et vérification de leur exploitabilité.
• Rapport : constats classés par risque, preuves et recommandations claires.
• Plan de remédiation : actions concrètes et, si convenu, une nouvelle vérification après les corrections.

L’autorisation écrite est indispensable

Tout test doit disposer de l’autorisation écrite du propriétaire des systèmes. Accéder à des systèmes sans permission peut constituer un délit ; en Colombie, par exemple, la loi 1273 de 2009 sanctionne l’accès abusif aux systèmes informatiques.

Comment se préparer

1. Faites l’inventaire des systèmes et de la personne responsable de chacun.
2. Définissez le périmètre et les objectifs : conformité, validation avant un lancement, revue annuelle ?
3. Prévenez les équipes internes et les fournisseurs qui hébergent les systèmes, le cas échéant.
4. Faites des sauvegardes et définissez un plan de communication en cas d’incident.
5. Désignez une personne chargée de recevoir le rapport et de coordonner la remédiation.

Tests de sécurité pour les applications d’IA

Les applications d’IA ajoutent des risques propres, comme des instructions malveillantes qui manipulent le modèle, des fuites de données ou des agents aux permissions excessives. Il convient de les inclure dans le périmètre lorsque votre organisation utilise des agents ou des assistants d’IA.