Audit de sécurité : évaluation de la posture
L'audit de sécurité examine les politiques, les configurations, les accès, la conformité réglementaire et les bonnes pratiques. Il produit un état des lieux exhaustif mais ne démontre pas l'exploitabilité des failles.
Pentest : simulation d'attaque réelle
Le pentest va plus loin : il exploite réellement les vulnérabilités pour démontrer leur impact. Il produit des preuves concrètes (captures, requêtes, scénarios d'exploitation) et un plan de remédiation priorisé par sévérité CVSS.
Comparaison rapide
- Périmètre : audit = large (organisation), pentest = ciblé (application, API, réseau).
- Approche : audit = documentaire + configuration, pentest = offensif + exploitation.
- Livrable : audit = rapport de conformité, pentest = rapport technique avec preuves.
- Fréquence : audit = annuel, pentest = après chaque changement majeur.
Quelle approche choisir ?
Si un client ou un assureur demande des preuves d'exploitation concrètes, le pentest est le bon format. Si l'objectif est un état des lieux global de la posture de sécurité, l'audit convient mieux. Idéalement, les deux se complètent.