Un rapport de test d’intrusion n’a de valeur que s’il est suivi d’effets. Dans la pratique, l’obstacle n’est pas la compréhension des vulnérabilités, mais l’arbitrage : par quoi commencer, à quel coût, avec quel impact sur l’exploitation, et comment vérifier que la correction est réellement efficace.
Ce qui est déjà compris dans un test d’intrusion
Il est utile de poser la limite, parce qu’elle est rarement explicite chez les prestataires.
Un test d’intrusion comprend le rapport, le plan de remédiation priorisé et la restitution orale, avec les échanges qui suivent immédiatement cette restitution. Vous repartez en sachant quoi corriger, dans quel ordre et pourquoi.
Ce qui vient ensuite — travailler avec vos équipes dans la durée, arbitrer les options techniques, valider les correctifs au fur et à mesure — relève de l’accompagnement décrit ici. C’est une prestation à part entière, commandée et facturée séparément.
Ce que couvre l’accompagnement
- Priorisation — reclassement des constats en fonction de votre contexte réel : exposition, criticité métier, effort de correction, effet de coupure sur les chemins d’attaque. Corriger dix constats faibles change moins la situation que fermer un seul chemin court.
- Explication technique — restitution auprès des équipes concernées, avec le mécanisme exact de la vulnérabilité et non seulement son intitulé.
- Conseil sur les mesures — options de correction, effets de bord à anticiper, ordre d’application, mesures de contournement lorsque la correction définitive demande du temps.
- Points d’avancement — suivi périodique de l’état du plan d’action.
- Vérification — contrôle technique des corrections appliquées, en cours de chantier.
Interlocuteurs
L’accompagnement se fait aussi bien avec une équipe interne qu’avec votre prestataire d’infogérance. Dans ce second cas, l’intérêt est d’apporter la lecture offensive : ce qui ferme réellement un chemin d’attaque plutôt que ce qui en masque le symptôme.
Répartition des rôles
Cet accompagnement relève du conseil et de la vérification technique. Les modifications sur vos systèmes de production restent réalisées par vous ou par votre exploitant : cette séparation garantit que l’évaluation de sécurité reste indépendante des choix d’exploitation, et que celui qui vérifie n’est pas celui qui a appliqué.