Nos pentests : toutes vos surfaces d’attaque, une seule méthode.Nos pentests : toutes vos surfaces d’attaque, une seule méthode.

Un scan de vulnérabilités est automatisé : il compare ce qu’il voit à une base de signatures et produit une liste, faux positifs compris. Un test d’intrusion part du même terrain mais va jusqu’à l’exploitation - nos pentesters enchaînent les failles, franchissent les contrôles et démontrent l’impact réel par une preuve reproductible. Un scan vous dit qu’un service est potentiellement vulnérable ; un pentest vous dit ce qu’un attaquant en fait, et jusqu’où il va. Nos agents IA internes couvrent le volume qu’un scan couvrirait, pour que le temps de nos pentesters aille à ce qu’une machine ne sait pas faire.

Chaque vulnérabilité inclut une preuve d’exploitabilité, les étapes de reproduction, une analyse du risque et des recommandations de remédiation. Les résultats peuvent également être rapprochés des exigences de référentiels et réglementations comme ISO 27001, SOC 2, HDS, DORA et NIS2.

Pour l’exigence d’audit, oui. NIS2 laisse le choix entre cinq activités (test d’intrusion, audit de configuration, audit d’architecture, audit organisationnel et physique, audit de code) et impose aux entités essentielles et importantes d’en conduire au moins une. Un test d’intrusion couvrant votre surface exposée y répond donc. NIS2 ne s’arrête pas à l’audit, la gestion des risques est plus large, mais sur ce point le rapport, l’attestation et le plan de remédiation font preuve. Le référentiel ReCyF de l’ANSSI est encore en version de travail et la loi de transposition n’est pas promulguée, mais l’attendu est connu, et le rapport d’audit et le plan de remédiation constituent la preuve à présenter.

Cela dépend de qui vous l’impose. La qualification PASSI de l’ANSSI s’impose aux opérateurs d’importance vitale et aux opérateurs de services essentiels au titre de la loi de programmation militaire, et le cadre TIBER-FR la recommande pour les tests TLPT exigés par DORA. En dehors de ces cas, elle n’est pas requise : c’est un signal de rigueur sur le processus d’audit, pas un prérequis. Mobeta est engagé dans la démarche et la qualification est en cours d’obtention ; nos pentesters sont certifiés OSCP et OSWE.

Par celui qui porte votre risque, pas par le plus simple à tester. Trois cas reviennent. Si votre activité repose sur une application exposée, commencez par le pentest web et ses API. Si vous ne savez pas exactement ce que vous exposez sur Internet (sous-domaines oubliés, environnements de recette, actifs hérités d’une acquisition), commencez par la cartographie de surface exposée, qui établit l’inventaire avant de tester. Si votre enjeu est ce qu’un attaquant déjà entré peut atteindre, commencez par le pentest interne et son Active Directory. Trente minutes d’échange suffisent à trancher : c’est le rôle du cadrage.