// CLUBIC — CYBERSECURITY
Pentest pour PME : faire tester sa sécurité par un hacker éthique, combien ça coûte et qu'est-ce qu'on apprend vraiment ?
Vous hésitez peut-être à payer un inconnu pour qu'il pirate le système informatique de votre entreprise. Même s'il s'agit d'un piratage éthique, pour tester vos installations de cybersécurité, si personne, dans vos équipes, n'est en mesure de lire le rapport technique d'un expert en sécurité, vous voulez vous assurer de son honnêteté.
Le Panorama de la cybermenace 2025 de l'ANSSI indique que les TPE/PME/ETI ont été en 2025 la première catégorie de victimes de rançongiciels traitées par l'agence, avec 37 % des cas. Dans les intrusions analysées par l'agence, les pirates exploitent surtout les failles des pare-feu et des VPN exposés à Internet, ou des identifiants volés à des salariés.
Le test d'intrusion, ou pentest, est une attaque simulée contre votre système informatique. Le hacker éthique chargé de cette mission est un spécialiste de la sécurité informatique. Mandaté par écrit, il cherche ces failles avant les criminels, puis consigne ses découvertes dans un rapport. Voici comment choisir le meilleur en fonction de votre structure et de vos besoins.
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Avant la première tentative d'intrusion, dressez avec le prestataire la liste des éléments qu'il a le droit d'attaquer. Vous pouvez inscrire sur cette liste votre site web ou le réseau interne de vos bureaux, mais le prestataire facture chaque élément supplémentaire en jours de travail. Il vous faut ensuite choisir la quantité d'informations transmises au pentesteur. En boîte noire, il ne dispose que du nom de votre entreprise et part de zéro. En boîte grise, vous lui confiez le compte d'un salarié ordinaire, afin de mesurer jusqu'où un pirate muni d'identifiants volés peut progresser dans votre réseau.
Le cabinet attend ensuite la signature d'une autorisation écrite de votre part pour lancer sa première attaque. Sans ce document, son expert commet un accès frauduleux à un système informatique, et ce délit est puni de trois ans d'emprisonnement et de 100 000 euros d'amende par l'article 323-1 du Code pénal. Dans l'autorisation, vous inscrivez les dates des tests et le numéro à appeler en cas de panne d'un serveur pendant les essais. Si votre site est hébergé chez un prestataire extérieur, cet hébergeur peut aussi exiger, dans son contrat, d'être prévenu avant le test.
Dans la version 2.2 de son référentiel PASSI, publiée en novembre 2024, l'ANSSI fixe les exigences à remplir par les prestataires d'audit de la sécurité des systèmes d'information qu'elle qualifie, pour six activités dont le test d'intrusion. PASSI est le sigle de ces prestataires, et l'agence recense les cabinets qualifiés depuis avril 2025 sur sa plateforme MesServicesCyber. Avant de signer un devis, vous pouvez donc vérifier sur cette plateforme la qualification du cabinet retenu.
Le prix d'un test d'intrusion n'est encadré par aucun barème public, et le cabinet le facture au nombre de jours de travail de son expert, rédaction du rapport comprise. Pour les prestataires qu'elle labellise ExpertCyber, la plateforme Cybermalveillance.gouv.fr impose seulement la transparence sur les tarifs appliqués, sous forme de prix précis ou de fourchette, sans fixer de plafond.
Bpifrance fournit un repère public avec son Diag Cybersécurité, destiné aux PME indépendantes de plus de dix salariés. Pendant huit jours d'intervention répartis sur trois à six mois, un expert mène des entretiens sur l'organisation de votre entreprise, puis des tests techniques de vos failles. Le coût total de ce diagnostic est de 8 800 euros HT, dont la banque publique prend en charge la moitié, si bien que votre reste à charge est de 4 400 euros HT. Rapporté aux huit jours d'intervention, ce montant est de 1 100 euros HT par journée d'expert.
Pour un test d'intrusion seul, le cabinet calcule son devis en fonction de la surface à attaquer. Un expert teste un site vitrine en quelques jours, alors qu'il l