Audit vs pentest vs scan de vulnérabilités : lequel choisir ?

Une PME de Sherbrooke de 30 employés reçoit trois demandes la même semaine. Son assureur veut une « évaluation de sécurité ». Son plus gros client exige un « pentest ». Et son impartiteur TI propose un « scan mensuel ». Trois mots, trois services, trois factures très différentes.

La confusion est normale : les fournisseurs eux-mêmes utilisent ces termes de façon interchangeable. Pourtant, choisir le mauvais outil, c'est soit payer trop cher pour une question simple, soit acheter une fausse impression de sécurité.

Une image aide à s'y retrouver. Pour une maison, le scan de vulnérabilités, c'est le détecteur de fumée. Le test d'intrusion, c'est un serrurier que vous mandatez pour essayer d'entrer. L'audit, c'est l'inspection complète, y compris la question de savoir qui a des doubles de clés.

Le scan de vulnérabilités : le détecteur automatique

Un scanner est un logiciel qui interroge vos systèmes et compare ce qu'il trouve à une base de failles connues : version de logiciel désuète, port ouvert inutilement, certificat expiré. Il peut fonctionner de l'extérieur (ce que voit Internet) ou de l'intérieur, avec ou sans identifiants.

Forces : rapide, peu coûteux par exécution, idéal pour une surveillance régulière. C'est l'outil parfait pour vérifier que votre politique de gestion des correctifs est réellement appliquée.

Limites : il ne trouve que ce qu'il connaît. Il génère des faux positifs qu'il faut trier, et il ne comprend rien à la logique de vos applications. Un scanner ne verra jamais qu'un client peut consulter la facture d'un autre client en modifiant un numéro dans l'adresse.

Demandez aussi quel type de scan on vous propose. Un scan externe sans identifiants ne voit que la façade. Un scan authentifié, lancé avec un compte sur vos postes et serveurs, voit beaucoup plus : logiciels non mis à jour, configurations faibles, comptes locaux oubliés. Les deux sont utiles, mais ils ne répondent pas à la même question.

Le test d'intrusion : l'attaque simulée

Dans un test d'intrusion, des spécialistes se mettent dans la peau d'un attaquant. Ils utilisent des outils, dont des scanners, mais surtout leur jugement : enchaîner trois failles mineures pour obtenir un accès majeur, deviner un mot de passe à partir du nom de l'entreprise, contourner une étape de paiement.

Le livrable n'est pas une liste de failles potentielles, mais la preuve de ce qui est réellement exploitable. Un test d'intrusion exige toujours une autorisation écrite du propriétaire des systèmes : sans elle, l'activité peut constituer une utilisation non autorisée d'ordinateur au sens de l'article 342.1 du Code criminel.

Les fournisseurs canadiens publient des fourchettes très larges, de quelques milliers à plusieurs dizaines de milliers de dollars selon la portée (par exemple, Packetlabs, août 2026). Nous détaillons ce qui fait varier ce montant dans notre article sur le prix d'un test d'intrusion.

L'audit de cybersécurité : la vue d'ensemble

L'audit pose une question plus large : votre entreprise est-elle raisonnablement protégée, compte tenu de ses risques ? Il examine les configurations, mais aussi les processus (que se passe-t-il quand un employé quitte ?) et les personnes (qui sait reconnaître un courriel d'hameçonnage ?).

Il s'appuie sur un référentiel, par exemple les contrôles de base du Centre canadien pour la cybersécurité, et produit un plan d'action priorisé. C'est souvent le meilleur premier pas pour une PME qui n'a jamais fait d'évaluation. Notre guide sur l'audit de cybersécurité pour PME en décrit chaque étape.

Le tableau comparatif

Le NIST, l'organisme américain de normalisation, distingue d'ailleurs clairement ces techniques dans son guide SP 800-115 sur les tests et évaluations de sécurité.

Lequel choisir ? Trois situations typiques

Un cabinet de notaires de Trois-Rivières, 12 employés, aucune évaluation à ce jour. Commencez par un audit. Un test d'intrusion confirmerait sans doute des lacunes de base, comme l'absence d'authentification multifacteur, que l'audit aurait trouvées pour moins cher, en plus de couvrir les sauvegardes et la Loi 25.

Un éditeur de logiciel de Québec dont un client exige un pentest. Ici, le test d'intrusion de l'application est non négociable : c'est la preuve demandée par le client. Ajoutez des scans réguliers entre deux tests pour suivre les nouvelles failles des composants utilisés.

Un distributeur de Laval audité l'an dernier, plan d'action terminé. C'est le moment idéal pour un test d'intrusion : il validera que les corrections tiennent face à une attaque réelle. Des scans mensuels par l'impartiteur complètent le tout.

Notez que certaines normes imposent leurs propres exigences. Les commerçants soumis à la norme PCI DSS, qui encadre les paiements par carte, doivent notamment faire des scans de vulnérabilités et des tests d'intrusion périodiques.

Démasquer l'étiquette : six questions à poser

Peu importe le nom inscrit sur la soumission, ces questions vous diront ce que vous achetez vraiment :

• Le livrable est-il une liste brute de failles, ou des preuves d'exploitation ?
• Combien de jours de travail manuel sont prévus, et par qui ?
• Les processus et les personnes sont-ils évalués, ou seulement la technique ?
• Les faux positifs sont-ils triés avant la remise du rapport ?
• La méthodologie ou le référentiel utilisé est-il nommé ?
• Une vérification est-elle prévue après vos corrections ?

Si la réponse à la première question est « une liste brute » et qu'il n'y a aucun travail manuel, vous achetez un scan, quel que soit le nom du service. Ce n'est pas un problème en soi, tant que le prix correspond.

L'ordre logique pour une PME

Pour la plupart des PME québécoises, cette séquence donne le meilleur rendement :

1. Audit pour savoir où vous en êtes et quoi corriger en premier.
2. Corrections des lacunes prioritaires : authentification multifacteur, correctifs, sauvegardes hors ligne, comptes inactifs.
3. Scans réguliers pour vérifier que les corrections durent dans le temps.
4. Test d'intrusion pour valider le tout avec un regard d'attaquant.

L'erreur la plus fréquente ? Commander un test d'intrusion coûteux avant d'avoir réglé les bases, et payer des spécialistes pour qu'ils vous disent ce qu'une liste de vérification aurait révélé. L'inverse existe aussi : se contenter de scans automatiques pendant des années et croire que « tout est vert ».

Si l'évaluation est demandée par un assureur, notre article sur le questionnaire d'assurance cyber vous aidera à préparer les réponses attendues.

Vous hésitez encore ? Notre équipe peut commencer par un audit de cybersécurité et vous recommander, à la fin, si un test d'intrusion est justifié dans votre cas.