Quel test de cybersécurité choisir pour une PME ?
En bref
Pour une PME, le bon premier test dépend de ce qui fait tourner l'activité. Si votre chiffre d'affaires ou vos données clients passent par un site ou une application, commencez par un test de cette application. Si vous travaillez surtout par e-mail et sur des postes de bureau, commencez par un test de ce qui est exposé sur Internet et, si possible, une simulation de phishing.
Les 4 grands types de tests
| Type de test | La question à laquelle il répond | Pour qui en priorité |
|---|---|---|
| Test d'application web | Un pirate peut-il voler des données ou des comptes via mon site ou mon logiciel en ligne ? | E-commerce, éditeurs de logiciels, portails clients, prises de rendez-vous |
| Test externe | Que voit un pirate de mon entreprise depuis Internet, et peut-il entrer ? | Toutes les entreprises, en particulier avec accès à distance ou télétravail |
| Test interne | Si un ordinateur est piraté, l'attaquant peut-il prendre le contrôle de tout le réseau ? | Entreprises de plus de 20 postes, réseau avec serveur ou annuaire Windows |
| Simulation de phishing | Mes équipes cliquent-elles sur un faux e-mail piégé ? | Toutes les entreprises, notamment comptabilité et direction |
Trois situations courantes
« Nous avons un site avec un espace client »
Priorité au test d'application web, en vous fournissant deux comptes de test (client et administrateur). L'IA vérifie de manière systématique qu'un client ne peut pas voir les données d'un autre, ce qui est l'une des failles les plus répandues.
« Un client nous demande une preuve de sécurité »
Un test externe accompagné d'un rapport signé répond à la plupart des questionnaires de sécurité fournisseurs. Si votre client vous confie des données, ajoutez le test de l'application concernée.
« Nous avons été victimes d'une tentative de fraude »
Commencez par un test externe et une simulation de phishing ciblée, puis un test interne pour vérifier qu'un attaquant déjà présent ne pourrait pas aller plus loin.
À quelle fréquence ?
Une fois par an au minimum, et après chaque changement important : nouveau site, nouveau logiciel, déménagement, changement de prestataire informatique. Entre deux tests, une surveillance automatisée simple permet de détecter les problèmes les plus évidents.