Un test d’intrusion (pentest) montre jusqu’où un attaquant pourrait pénétrer dans vos systèmes — avant que quelqu’un ne le tente réellement. Contrairement à un scan automatique de vulnérabilités, un pentest combine des outils et une analyse manuelle : les vulnérabilités trouvées sont vérifiées, mises en relation et évaluées selon leur impact réel.
Wingsecurity réalise des tests d’intrusion pour des entreprises à Bâle et dans toute la Suisse, à distance ou sur place. En tant qu’entreprise de sécurité aux compétences physiques et numériques, nous examinons aussi des vecteurs d’attaque qui dépassent l’informatique pure — par exemple des prises réseau non protégées dans des locaux accessibles au public.
Les tests d’intrusion que nous réalisons
Le périmètre dépend de vos systèmes et de votre risque. Les objets de test typiques sont :
- Applications web et API : authentification, autorisations, traitement des entrées, gestion des sessions et logique métier
- Infrastructure externe : serveurs accessibles depuis Internet, accès VPN, services de messagerie et d’accès à distance
- Réseau interne : que peut atteindre un attaquant qui a déjà compromis un poste de travail ?
- Wi-Fi et segmentation du réseau : séparation des réseaux invités, bureautiques et de production
- Ingénierie sociale et simulations de phishing après accord préalable de la direction
Déroulement : de la définition du périmètre au contre-test
Chaque test d’intrusion commence par un entretien de cadrage. Ensemble, nous définissons quels systèmes sont testés, lesquels sont exclus, dans quelle plage horaire les tests ont lieu, quelle profondeur de test est souhaitée (boîte noire, grise ou blanche) et comment procéder en cas de découverte critique ou de perturbation. Ces points sont convenus par écrit.
Sans l’autorisation expresse des ayants droit, s’introduire dans des systèmes tiers protégés serait punissable en Suisse (art. 143bis CP). C’est pourquoi nous clarifions aussi au préalable si des tiers, comme des hébergeurs ou des fournisseurs cloud, doivent donner leur accord ou être informés.
Pendant le test, nous nous appuyons sur des méthodes reconnues, par exemple l’OWASP Web Security Testing Guide pour les applications web. Une fois les vulnérabilités corrigées, nous vérifions lors d’un contre-test que les mesures sont efficaces.
Le rapport : priorisé et compréhensible
À la fin, vous recevez un rapport en deux parties : une synthèse pour la direction explique les risques et les mesures à prendre dans un langage compréhensible. La partie technique décrit chaque vulnérabilité avec preuve, évaluation, systèmes concernés et recommandations concrètes de correction. Lors d’un entretien, nous passons en revue les résultats avec votre équipe.
Nous traitons les rapports, données d’accès et documents de projet de manière strictement confidentielle ; les comptes de test et accès temporaires devraient être désactivés à la fin du projet.
Pourquoi tester régulièrement ?
La loi sur la protection des données exige des entreprises qui traitent des données personnelles une sécurité des données adaptée au risque (art. 8 LPD). Si une violation de la sécurité des données entraînant vraisemblablement un risque élevé pour les personnes concernées survient malgré tout, elle doit être annoncée au PFPDT (art. 24 LPD ; voir le guide du PFPDT sur les violations de la sécurité des données).
Un test d’intrusion est l’une des mesures permettant de vérifier l’efficacité de vos dispositifs de protection. Il est judicieux avant la mise en production de nouvelles applications, après des modifications importantes de l’infrastructure ou des logiciels, et à intervalles réguliers. En complément, nous proposons des audits de sécurité et la réponse aux incidents.