Dans mon précédent article, j’ai posé les bases de la directive NIS2 : ce qu’elle est, à qui elle s’applique, et pourquoi elle va concerner bien plus d’entreprises qu’on ne l’imagine.
Si vous ne l’avez pas encore lu, je vous laisse le lien ici : Cliquez ici
Mais une fois ce cadre posé, une question essentielle demeure : comment vérifier que les mesures mises en place résistent réellement à une attaque ?
C’est précisément ce que j’ai envie d’aborder ici : ce que peuvent apporter un pentest, un exercice de red team ou une analyse de surface exposée à votre infrastructure, et surtout où cela s’inscrit dans le cadre NIS2.
"Tester" est différent de "supposer"
D’abord, de quoi parle-t-on quand on évoque la conformité ?
La conformité ne repose pas seulement sur des documents bien rédigés, ou sur des preuves préparées pour passer une certification X ou Y. Elle repose surtout sur la capacité à démontrer que les mesures de sécurité mises en place fonctionnent réellement, face à des scénarios d’attaque concrets.
Autrement dit, ce n’est pas parce qu’un contrôle existe sur le papier qu’il résiste dans la réalité.
Lors d’un pentest précédent, le client m’avait demandé de vérifier si ses protections tenaient réellement face à un scénario d’attaque concret. Malgré les garde-fous déjà en place, il n’a fallu qu’une douzaine de minutes pour contourner les défenses, sans provoquer la moindre alerte sur ses outils de surveillance.
C’est précisément là que la sécurité offensive prend tout son sens : elle permet de confronter l’intention à la réalité, et de vérifier si ce qui est prévu tient réellement la route face à un attaquant potentiel.
Le pentest : une mesure sous-estimée mais très efficace
Maintenant que le cadre est posé, la première mesure de cybersécurité offensive qui vient généralement en tête est le pentest.
On réduit souvent le pentest à un simple audit technique. À mon sens, c’est une erreur. Bien mené, il permet de mesurer la résistance réelle de votre périmètre face à un scénario d’attaque concret.
Il ne s’agit pas seulement d’identifier des vulnérabilités. Il s’agit surtout de comprendre ce qui est réellement exploitable, quels chemins d’attaque sont les plus crédibles, et où concentrer les efforts de correction.
Dans une démarche NIS2, l’intérêt est encore plus fort : le pentest permet aussi de documenter ce qui a été testé, ce qui a été trouvé, ce qui a été corrigé, puis ce qui a été revalidé ensuite.
Concrètement, il ne sert pas seulement à voir si ça casse. Il sert à hiérarchiser les corrections et à démontrer que les mesures mises en place ont bien été améliorées.
Cela dit, un bon pentest ne se juge pas seulement à ce qu’il trouve. Il se juge aussi à la qualité de la personne qui le réalise, au cadrage de la mission, et à la clarté du livrable. Avant de le lancer, il est donc important de vérifier :
- la légitimité et l’expérience de l’intervenant ;
- la précision du périmètre ;
- la lisibilité du rapport ;
- la présence d’une synthèse managériale ;
- et la capacité du document à déboucher sur un vrai plan d’action.
Un conseil simple : si vous ne comprenez pas ce que l’intervenant vous dit, ou si vous n’avez aucune idée du résultat attendu, fuyez.
L’analyse de la surface d’attaque : l’automatisation essentielle
L’un des principaux enjeux du pentest, c’est qu’il teste généralement un point précis de l’infrastructure à un instant donné. Or, une infrastructure est vivante : elle évolue, change, s’agrandit, et peut exposer de nouveaux angles morts entre deux tests.
Pour l’imager simplement, c’est un peu comme tester la sécurité d’une maison en vérifiant uniquement la porte blindée, sans voir qu’une fenêtre est restée ouverte sur le côté. Un attaquant, lui, cherchera toujours le chemin le plus simple et le plus rapide pour atteindre ses objectifs.
C’est là que l’analyse de surface d’attaque entre en jeu. Elle permet de garder une vision continue de ce qui est visible depuis l’extérieur, à tout moment.
Dans une démarche NIS2, c’est particulièrement pertinent, parce qu’un attaquant ne se limite pas à ce que vous connaissez de votre périmètre. Il observe tout ce qui est exposé : les actifs oubliés, les services non documentés, les dérives de configuration, les évolutions non maîtrisées, mais aussi les fuites de données vous concernant. L’automatisation permet donc de transformer une surveillance ponctuelle en détection continue, avec une capacité bien meilleure à prioriser les écarts et à documenter leur correction.
La surface d’attaque ne doit pas être vue comme un simple inventaire technique. Elle doit être traitée comme un indicateur vivant de votre exposition réelle. Et c’est souvent là que les organisations découvrent qu’elles ne maîtrisent pas totalement ce qu’elles pensent contrôler.
Comme pour le pentest, certains points sont à prendre en compte lorsque l’on souhaite souscrire à ce type de service :
- La couverture : un outil d’analyse de surface d’attaque doit offrir la couverture la plus large possible. Domaines, adresses IP, emails professionnels, dépôts de code source ou encore services exposés sont autant de points qu’un attaquant peut exploiter.
- L’actualisation : l’intérêt de l’outil est de vous aider à surveiller les évolutions. Il est donc important qu’il actualise régulièrement vos données et signale clairement les nouveautés découvertes.
- La qualité des résultats : l’outil ne doit pas être un simple tableau de bord supplémentaire. Il doit vous permettre, en quelques clics, d’obtenir une lecture claire, concise et exploitable.
- L’accompagnement : aujourd’hui, disposer d’une équipe à l’écoute et de points réguliers est essentiel. Cela permet d’y voir plus clair, d’interpréter correctement les résultats et d’élever progressivement votre niveau de résilience.
L’exercice red team : pour aller encore plus loin
La red team s’adresse à des organisations déjà plus matures. Là où le pentest cherche des vulnérabilités exploitables dans un périmètre défini, la red team simule une attaque plus globale et plus réaliste, avec un objectif précis : tester la capacité de l’entreprise à détecter, réagir et contenir un attaquant.
Dans une logique NIS2, la red team prend tout son sens. Elle montre si l’organisation peut réellement compter sur ses processus, sa supervision et sa réponse à incident face à un scénario crédible.
C’est donc un exercice particulièrement pertinent lorsque les fondamentaux sont déjà en place : pentests réguliers, surveillance active, équipe sécurité structurée, et processus de réponse aux incidents.
En pratique, la red team ne remplace pas le pentest. Elle vient plus loin, pour tester la maturité globale d’une organisation face à une attaque crédible, dans un cadre qui colle beaucoup mieux à l’esprit de NIS2.
Conclusion
Au fond, NIS2 pousse les entreprises à sortir d’une sécurité déclarative pour entrer dans une sécurité démontrée.
Le pentest vérifie ce qui casse, l’analyse de surface révèle ce qui est exposé, et la red team teste la capacité à réagir.
Pris ensemble, ces trois approches donnent une vision beaucoup plus réaliste du niveau de maturité d’une organisation.
Le véritable enjeu, au fond, n’est plus de supposer que l’on est prêt, mais d’être capable de le prouver.
Si votre objectif est d’aller plus loin que le constat ponctuel, un diagnostic d’exposition est souvent le meilleur point de départ.
Il permet ensuite de déterminer si un outil d’analyse de surface d’attaque peut vous aider à surveiller votre environnement dans le temps, avec une vision claire et actionnable.
