[{"data":1,"prerenderedAt":502},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences":45,"post-alt-\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences":481,"post-rel-\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences":483},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":89,"date":439,"description":440,"extension":441,"faq":442,"keyword":452,"meta":453,"minutes":27,"navigation":334,"path":454,"rawbody":455,"seo":456,"sources":457,"stem":473,"tags":474,"translationKey":478,"updated":479,"__hash__":480},"blog_fr\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences.md","Audit vs pentest vs scan de vulnérabilités : lequel choisir ?",{"type":49,"value":50,"toc":429},"minimark",[51,55,58,61,94,99,102,114,120,123,127,130,137,145,149,152,160,164,285,288,291,295,301,307,313,316,320,323,373,376,380,383,409,412,420,427],[52,53,54],"p",{},"Une PME de Sherbrooke de 30 employés reçoit trois demandes la même semaine. Son assureur veut une « évaluation de sécurité ». Son plus gros client exige un « pentest ». Et son impartiteur TI propose un « scan mensuel ». Trois mots, trois services, trois factures très différentes.",[52,56,57],{},"La confusion est normale : les fournisseurs eux-mêmes utilisent ces termes de façon interchangeable. Pourtant, choisir le mauvais outil, c'est soit payer trop cher pour une question simple, soit acheter une fausse impression de sécurité.",[52,59,60],{},"Une image aide à s'y retrouver. Pour une maison, le scan de vulnérabilités, c'est le détecteur de fumée. Le test d'intrusion, c'est un serrurier que vous mandatez pour essayer d'entrer. L'audit, c'est l'inspection complète, y compris la question de savoir qui a des doubles de clés.",[62,63,66],"callout",{"title":64,"type":65},"En bref","tip",[67,68,69,78,84,91],"ul",{},[70,71,72,73,77],"li",{},"Le ",[74,75,76],"strong",{},"scan de vulnérabilités"," est automatisé, rapide et répétable : il repère les failles connues, sans les exploiter.",[70,79,72,80,83],{},[74,81,82],{},"test d'intrusion"," est mené par des humains qui exploitent les failles pour prouver leur impact réel, avec une autorisation écrite.",[70,85,86,87,90],{},"L'",[74,88,89],{},"audit"," évalue l'ensemble : technologies, processus et personnes, par rapport à un référentiel reconnu.",[70,92,93],{},"Pour la plupart des PME, l'ordre logique est : audit, corrections, scans réguliers, puis test d'intrusion pour valider.",[95,96,98],"h2",{"id":97},"le-scan-de-vulnérabilités-le-détecteur-automatique","Le scan de vulnérabilités : le détecteur automatique",[52,100,101],{},"Un scanner est un logiciel qui interroge vos systèmes et compare ce qu'il trouve à une base de failles connues : version de logiciel désuète, port ouvert inutilement, certificat expiré. Il peut fonctionner de l'extérieur (ce que voit Internet) ou de l'intérieur, avec ou sans identifiants.",[52,103,104,107,108,113],{},[74,105,106],{},"Forces"," : rapide, peu coûteux par exécution, idéal pour une surveillance régulière. C'est l'outil parfait pour vérifier que votre ",[109,110,112],"a",{"href":111},"\u002Fblogue\u002Fpolitique-gestion-correctifs-pme","politique de gestion des correctifs"," est réellement appliquée.",[52,115,116,119],{},[74,117,118],{},"Limites"," : il ne trouve que ce qu'il connaît. Il génère des faux positifs qu'il faut trier, et il ne comprend rien à la logique de vos applications. Un scanner ne verra jamais qu'un client peut consulter la facture d'un autre client en modifiant un numéro dans l'adresse.",[52,121,122],{},"Demandez aussi quel type de scan on vous propose. Un scan externe sans identifiants ne voit que la façade. Un scan authentifié, lancé avec un compte sur vos postes et serveurs, voit beaucoup plus : logiciels non mis à jour, configurations faibles, comptes locaux oubliés. Les deux sont utiles, mais ils ne répondent pas à la même question.",[95,124,126],{"id":125},"le-test-dintrusion-lattaque-simulée","Le test d'intrusion : l'attaque simulée",[52,128,129],{},"Dans un test d'intrusion, des spécialistes se mettent dans la peau d'un attaquant. Ils utilisent des outils, dont des scanners, mais surtout leur jugement : enchaîner trois failles mineures pour obtenir un accès majeur, deviner un mot de passe à partir du nom de l'entreprise, contourner une étape de paiement.",[52,131,132,133,136],{},"Le livrable n'est pas une liste de failles potentielles, mais la preuve de ce qui est réellement exploitable. Un test d'intrusion exige toujours une ",[74,134,135],{},"autorisation écrite"," du propriétaire des systèmes : sans elle, l'activité peut constituer une utilisation non autorisée d'ordinateur au sens de l'article 342.1 du Code criminel.",[52,138,139,140,144],{},"Les fournisseurs canadiens publient des fourchettes très larges, de quelques milliers à plusieurs dizaines de milliers de dollars selon la portée (par exemple, Packetlabs, août 2026). Nous détaillons ce qui fait varier ce montant dans notre article sur le ",[109,141,143],{"href":142},"\u002Fblogue\u002Ftest-intrusion-prix-quebec","prix d'un test d'intrusion",".",[95,146,148],{"id":147},"laudit-de-cybersécurité-la-vue-densemble","L'audit de cybersécurité : la vue d'ensemble",[52,150,151],{},"L'audit pose une question plus large : votre entreprise est-elle raisonnablement protégée, compte tenu de ses risques ? Il examine les configurations, mais aussi les processus (que se passe-t-il quand un employé quitte ?) et les personnes (qui sait reconnaître un courriel d'hameçonnage ?).",[52,153,154,155,159],{},"Il s'appuie sur un référentiel, par exemple les contrôles de base du Centre canadien pour la cybersécurité, et produit un plan d'action priorisé. C'est souvent le meilleur premier pas pour une PME qui n'a jamais fait d'évaluation. Notre guide sur l'",[109,156,158],{"href":157},"\u002Fblogue\u002Faudit-cybersecurite-pme-quebec","audit de cybersécurité pour PME"," en décrit chaque étape.",[95,161,163],{"id":162},"le-tableau-comparatif","Le tableau comparatif",[165,166,167,183],"table",{},[168,169,170],"thead",{},[171,172,173,176,179,181],"tr",{},[174,175],"th",{},[174,177,178],{},"Scan de vulnérabilités",[174,180,10],{},[174,182,6],{},[184,185,186,201,215,229,243,257,271],"tbody",{},[171,187,188,192,195,198],{},[189,190,191],"td",{},"Question posée",[189,193,194],{},"Quelles failles connues sont présentes ?",[189,196,197],{},"Que peut réellement faire un attaquant ?",[189,199,200],{},"Sommes-nous protégés de façon raisonnable ?",[171,202,203,206,209,212],{},[189,204,205],{},"Méthode",[189,207,208],{},"Outil automatisé",[189,210,211],{},"Travail manuel d'experts",[189,213,214],{},"Entrevues, revue de configurations, vérifications",[171,216,217,220,223,226],{},[189,218,219],{},"Couvre les processus et les personnes",[189,221,222],{},"Non",[189,224,225],{},"Peu (sauf ingénierie sociale)",[189,227,228],{},"Oui",[171,230,231,234,237,240],{},[189,232,233],{},"Durée typique",[189,235,236],{},"Heures",[189,238,239],{},"Jours à semaines",[189,241,242],{},"Semaines",[171,244,245,248,251,254],{},[189,246,247],{},"Fréquence suggérée",[189,249,250],{},"Mensuelle ou continue",[189,252,253],{},"Annuelle et après un changement majeur",[189,255,256],{},"Annuelle",[171,258,259,262,265,268],{},[189,260,261],{},"Livrable",[189,263,264],{},"Liste de failles brutes",[189,266,267],{},"Rapport avec preuves d'exploitation",[189,269,270],{},"Plan d'action priorisé",[171,272,273,276,279,282],{},[189,274,275],{},"Coût relatif",[189,277,278],{},"$",[189,280,281],{},"$$ à $$$",[189,283,284],{},"$$",[52,286,287],{},"Le NIST, l'organisme américain de normalisation, distingue d'ailleurs clairement ces techniques dans son guide SP 800-115 sur les tests et évaluations de sécurité.",[289,290],"cta",{"variant":89},[95,292,294],{"id":293},"lequel-choisir-trois-situations-typiques","Lequel choisir ? Trois situations typiques",[52,296,297,300],{},[74,298,299],{},"Un cabinet de notaires de Trois-Rivières, 12 employés, aucune évaluation à ce jour."," Commencez par un audit. Un test d'intrusion confirmerait sans doute des lacunes de base, comme l'absence d'authentification multifacteur, que l'audit aurait trouvées pour moins cher, en plus de couvrir les sauvegardes et la Loi 25.",[52,302,303,306],{},[74,304,305],{},"Un éditeur de logiciel de Québec dont un client exige un pentest."," Ici, le test d'intrusion de l'application est non négociable : c'est la preuve demandée par le client. Ajoutez des scans réguliers entre deux tests pour suivre les nouvelles failles des composants utilisés.",[52,308,309,312],{},[74,310,311],{},"Un distributeur de Laval audité l'an dernier, plan d'action terminé."," C'est le moment idéal pour un test d'intrusion : il validera que les corrections tiennent face à une attaque réelle. Des scans mensuels par l'impartiteur complètent le tout.",[52,314,315],{},"Notez que certaines normes imposent leurs propres exigences. Les commerçants soumis à la norme PCI DSS, qui encadre les paiements par carte, doivent notamment faire des scans de vulnérabilités et des tests d'intrusion périodiques.",[95,317,319],{"id":318},"démasquer-létiquette-six-questions-à-poser","Démasquer l'étiquette : six questions à poser",[52,321,322],{},"Peu importe le nom inscrit sur la soumission, ces questions vous diront ce que vous achetez vraiment :",[67,324,327,338,345,352,359,366],{"className":325},[326],"contains-task-list",[70,328,331,337],{"className":329},[330],"task-list-item",[332,333],"input",{"disabled":334,"type":335,"aria-label":336},true,"checkbox","Le livrable est-il une liste brute de failles, ou des preuves d'exploitation ?"," Le livrable est-il une liste brute de failles, ou des preuves d'exploitation ?",[70,339,341,344],{"className":340},[330],[332,342],{"disabled":334,"type":335,"aria-label":343},"Combien de jours de travail manuel sont prévus, et par qui ?"," Combien de jours de travail manuel sont prévus, et par qui ?",[70,346,348,351],{"className":347},[330],[332,349],{"disabled":334,"type":335,"aria-label":350},"Les processus et les personnes sont-ils évalués, ou seulement la technique ?"," Les processus et les personnes sont-ils évalués, ou seulement la technique ?",[70,353,355,358],{"className":354},[330],[332,356],{"disabled":334,"type":335,"aria-label":357},"Les faux positifs sont-ils triés avant la remise du rapport ?"," Les faux positifs sont-ils triés avant la remise du rapport ?",[70,360,362,365],{"className":361},[330],[332,363],{"disabled":334,"type":335,"aria-label":364},"La méthodologie ou le référentiel utilisé est-il nommé ?"," La méthodologie ou le référentiel utilisé est-il nommé ?",[70,367,369,372],{"className":368},[330],[332,370],{"disabled":334,"type":335,"aria-label":371},"Une vérification est-elle prévue après vos corrections ?"," Une vérification est-elle prévue après vos corrections ?",[52,374,375],{},"Si la réponse à la première question est « une liste brute » et qu'il n'y a aucun travail manuel, vous achetez un scan, quel que soit le nom du service. Ce n'est pas un problème en soi, tant que le prix correspond.",[95,377,379],{"id":378},"lordre-logique-pour-une-pme","L'ordre logique pour une PME",[52,381,382],{},"Pour la plupart des PME québécoises, cette séquence donne le meilleur rendement :",[384,385,386,392,398,404],"ol",{},[70,387,388,391],{},[74,389,390],{},"Audit"," pour savoir où vous en êtes et quoi corriger en premier.",[70,393,394,397],{},[74,395,396],{},"Corrections"," des lacunes prioritaires : authentification multifacteur, correctifs, sauvegardes hors ligne, comptes inactifs.",[70,399,400,403],{},[74,401,402],{},"Scans réguliers"," pour vérifier que les corrections durent dans le temps.",[70,405,406,408],{},[74,407,10],{}," pour valider le tout avec un regard d'attaquant.",[52,410,411],{},"L'erreur la plus fréquente ? Commander un test d'intrusion coûteux avant d'avoir réglé les bases, et payer des spécialistes pour qu'ils vous disent ce qu'une liste de vérification aurait révélé. L'inverse existe aussi : se contenter de scans automatiques pendant des années et croire que « tout est vert ».",[52,413,414,415,419],{},"Si l'évaluation est demandée par un assureur, notre article sur le ",[109,416,418],{"href":417},"\u002Fblogue\u002Fassurance-cyber-questionnaire-assureur","questionnaire d'assurance cyber"," vous aidera à préparer les réponses attendues.",[52,421,422,423,426],{},"Vous hésitez encore ? Notre équipe peut commencer par un ",[109,424,425],{"href":5},"audit de cybersécurité"," et vous recommander, à la fin, si un test d'intrusion est justifié dans votre cas.",[289,428],{"variant":89},{"title":430,"searchDepth":11,"depth":15,"links":431},"",[432,433,434,435,436,437,438],{"id":97,"depth":11,"text":98},{"id":125,"depth":11,"text":126},{"id":147,"depth":11,"text":148},{"id":162,"depth":11,"text":163},{"id":293,"depth":11,"text":294},{"id":318,"depth":11,"text":319},{"id":378,"depth":11,"text":379},"2026-10-24","Audit, test d'intrusion ou scan de vulnérabilités ? Les vraies différences, ce que chacun livre et l'ordre logique pour une PME québécoise qui veut investir.","md",[443,446,449],{"q":444,"a":445},"Un scan de vulnérabilités gratuit suffit-il pour une petite entreprise ?","Un outil gratuit donne un premier aperçu des failles connues de votre site ou de votre pare-feu, ce qui est mieux que rien. Mais il ne voit ni vos comptes infonuagiques, ni vos sauvegardes, ni vos processus, ni les failles de logique d'une application. C'est un complément utile, pas une évaluation de votre sécurité.",{"q":447,"a":448},"Notre impartiteur TI peut-il faire ces évaluations lui-même ?","Il peut très bien gérer les scans de vulnérabilités au quotidien. Pour un audit ou un test d'intrusion, un regard indépendant est préférable : il est difficile d'évaluer objectivement des configurations qu'on a soi-même mises en place. L'idéal est que l'impartiteur collabore à l'évaluation sans en être l'auteur.",{"q":450,"a":451},"Que faire si mon assureur demande une « évaluation de sécurité » ?","Demandez d'abord à votre courtier ce que l'assureur attend exactement : un questionnaire sur vos contrôles, un scan de votre périmètre externe ou un rapport d'un tiers. Dans bien des cas, un audit couvre les questions posées, comme l'authentification multifacteur, les sauvegardes ou la formation des employés.","audit vs pentest vs scan de vulnérabilités",{},"\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences","---\ntitle: \"Audit vs pentest vs scan de vulnérabilités : lequel choisir ?\"\ndescription: \"Audit, test d'intrusion ou scan de vulnérabilités ? Les vraies différences, ce que chacun livre et l'ordre logique pour une PME québécoise qui veut investir.\"\ndate: 2026-10-24\ncategory: audit\ntags: [\"audit\", \"pentest\", \"vulnérabilités\", \"pme\"]\ntranslationKey: audit-vs-pentest\nkeyword: \"audit vs pentest vs scan de vulnérabilités\"\nfaq:\n  - q: \"Un scan de vulnérabilités gratuit suffit-il pour une petite entreprise ?\"\n    a: \"Un outil gratuit donne un premier aperçu des failles connues de votre site ou de votre pare-feu, ce qui est mieux que rien. Mais il ne voit ni vos comptes infonuagiques, ni vos sauvegardes, ni vos processus, ni les failles de logique d'une application. C'est un complément utile, pas une évaluation de votre sécurité.\"\n  - q: \"Notre impartiteur TI peut-il faire ces évaluations lui-même ?\"\n    a: \"Il peut très bien gérer les scans de vulnérabilités au quotidien. Pour un audit ou un test d'intrusion, un regard indépendant est préférable : il est difficile d'évaluer objectivement des configurations qu'on a soi-même mises en place. L'idéal est que l'impartiteur collabore à l'évaluation sans en être l'auteur.\"\n  - q: \"Que faire si mon assureur demande une « évaluation de sécurité » ?\"\n    a: \"Demandez d'abord à votre courtier ce que l'assureur attend exactement : un questionnaire sur vos contrôles, un scan de votre périmètre externe ou un rapport d'un tiers. Dans bien des cas, un audit couvre les questions posées, comme l'authentification multifacteur, les sauvegardes ou la formation des employés.\"\nsources:\n  - title: \"NIST SP 800-115 : Technical Guide to Information Security Testing and Assessment\"\n    url: \"https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F115\u002Ffinal\"\n  - title: \"Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcontroles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations\"\n  - title: \"Code criminel, art. 342.1 : utilisation non autorisée d'ordinateur\"\n    url: \"https:\u002F\u002Flaws-lois.justice.gc.ca\u002Ffra\u002Flois\u002Fc-46\u002Fsection-342.1.html\"\n  - title: \"PCI Security Standards Council : PCI DSS\"\n    url: \"https:\u002F\u002Fwww.pcisecuritystandards.org\u002Fstandards\u002Fpci-dss\u002F\"\n  - title: \"Packetlabs : coût moyen d'un test d'intrusion au Canada (août 2026)\"\n    url: \"https:\u002F\u002Fwww.packetlabs.net\u002Fposts\u002Fguide-to-the-average-cost-of-a-pentest-in-canada\u002F\"\n---\n\nUne PME de Sherbrooke de 30 employés reçoit trois demandes la même semaine. Son assureur veut une « évaluation de sécurité ». Son plus gros client exige un « pentest ». Et son impartiteur TI propose un « scan mensuel ». Trois mots, trois services, trois factures très différentes.\n\nLa confusion est normale : les fournisseurs eux-mêmes utilisent ces termes de façon interchangeable. Pourtant, choisir le mauvais outil, c'est soit payer trop cher pour une question simple, soit acheter une fausse impression de sécurité.\n\nUne image aide à s'y retrouver. Pour une maison, le scan de vulnérabilités, c'est le détecteur de fumée. Le test d'intrusion, c'est un serrurier que vous mandatez pour essayer d'entrer. L'audit, c'est l'inspection complète, y compris la question de savoir qui a des doubles de clés.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- Le **scan de vulnérabilités** est automatisé, rapide et répétable : il repère les failles connues, sans les exploiter.\n- Le **test d'intrusion** est mené par des humains qui exploitent les failles pour prouver leur impact réel, avec une autorisation écrite.\n- L'**audit** évalue l'ensemble : technologies, processus et personnes, par rapport à un référentiel reconnu.\n- Pour la plupart des PME, l'ordre logique est : audit, corrections, scans réguliers, puis test d'intrusion pour valider.\n::\n\n## Le scan de vulnérabilités : le détecteur automatique\n\nUn scanner est un logiciel qui interroge vos systèmes et compare ce qu'il trouve à une base de failles connues : version de logiciel désuète, port ouvert inutilement, certificat expiré. Il peut fonctionner de l'extérieur (ce que voit Internet) ou de l'intérieur, avec ou sans identifiants.\n\n**Forces** : rapide, peu coûteux par exécution, idéal pour une surveillance régulière. C'est l'outil parfait pour vérifier que votre [politique de gestion des correctifs](\u002Fblogue\u002Fpolitique-gestion-correctifs-pme) est réellement appliquée.\n\n**Limites** : il ne trouve que ce qu'il connaît. Il génère des faux positifs qu'il faut trier, et il ne comprend rien à la logique de vos applications. Un scanner ne verra jamais qu'un client peut consulter la facture d'un autre client en modifiant un numéro dans l'adresse.\n\nDemandez aussi quel type de scan on vous propose. Un scan externe sans identifiants ne voit que la façade. Un scan authentifié, lancé avec un compte sur vos postes et serveurs, voit beaucoup plus : logiciels non mis à jour, configurations faibles, comptes locaux oubliés. Les deux sont utiles, mais ils ne répondent pas à la même question.\n\n## Le test d'intrusion : l'attaque simulée\n\nDans un test d'intrusion, des spécialistes se mettent dans la peau d'un attaquant. Ils utilisent des outils, dont des scanners, mais surtout leur jugement : enchaîner trois failles mineures pour obtenir un accès majeur, deviner un mot de passe à partir du nom de l'entreprise, contourner une étape de paiement.\n\nLe livrable n'est pas une liste de failles potentielles, mais la preuve de ce qui est réellement exploitable. Un test d'intrusion exige toujours une **autorisation écrite** du propriétaire des systèmes : sans elle, l'activité peut constituer une utilisation non autorisée d'ordinateur au sens de l'article 342.1 du Code criminel.\n\nLes fournisseurs canadiens publient des fourchettes très larges, de quelques milliers à plusieurs dizaines de milliers de dollars selon la portée (par exemple, Packetlabs, août 2026). Nous détaillons ce qui fait varier ce montant dans notre article sur le [prix d'un test d'intrusion](\u002Fblogue\u002Ftest-intrusion-prix-quebec).\n\n## L'audit de cybersécurité : la vue d'ensemble\n\nL'audit pose une question plus large : votre entreprise est-elle raisonnablement protégée, compte tenu de ses risques ? Il examine les configurations, mais aussi les processus (que se passe-t-il quand un employé quitte ?) et les personnes (qui sait reconnaître un courriel d'hameçonnage ?).\n\nIl s'appuie sur un référentiel, par exemple les contrôles de base du Centre canadien pour la cybersécurité, et produit un plan d'action priorisé. C'est souvent le meilleur premier pas pour une PME qui n'a jamais fait d'évaluation. Notre guide sur l'[audit de cybersécurité pour PME](\u002Fblogue\u002Faudit-cybersecurite-pme-quebec) en décrit chaque étape.\n\n## Le tableau comparatif\n\n| | Scan de vulnérabilités | Test d'intrusion | Audit de cybersécurité |\n|---|---|---|---|\n| Question posée | Quelles failles connues sont présentes ? | Que peut réellement faire un attaquant ? | Sommes-nous protégés de façon raisonnable ? |\n| Méthode | Outil automatisé | Travail manuel d'experts | Entrevues, revue de configurations, vérifications |\n| Couvre les processus et les personnes | Non | Peu (sauf ingénierie sociale) | Oui |\n| Durée typique | Heures | Jours à semaines | Semaines |\n| Fréquence suggérée | Mensuelle ou continue | Annuelle et après un changement majeur | Annuelle |\n| Livrable | Liste de failles brutes | Rapport avec preuves d'exploitation | Plan d'action priorisé |\n| Coût relatif | $ | $$ à $$$ | $$ |\n\nLe NIST, l'organisme américain de normalisation, distingue d'ailleurs clairement ces techniques dans son guide SP 800-115 sur les tests et évaluations de sécurité.\n\n::cta{variant=\"audit\"}\n::\n\n## Lequel choisir ? Trois situations typiques\n\n**Un cabinet de notaires de Trois-Rivières, 12 employés, aucune évaluation à ce jour.** Commencez par un audit. Un test d'intrusion confirmerait sans doute des lacunes de base, comme l'absence d'authentification multifacteur, que l'audit aurait trouvées pour moins cher, en plus de couvrir les sauvegardes et la Loi 25.\n\n**Un éditeur de logiciel de Québec dont un client exige un pentest.** Ici, le test d'intrusion de l'application est non négociable : c'est la preuve demandée par le client. Ajoutez des scans réguliers entre deux tests pour suivre les nouvelles failles des composants utilisés.\n\n**Un distributeur de Laval audité l'an dernier, plan d'action terminé.** C'est le moment idéal pour un test d'intrusion : il validera que les corrections tiennent face à une attaque réelle. Des scans mensuels par l'impartiteur complètent le tout.\n\nNotez que certaines normes imposent leurs propres exigences. Les commerçants soumis à la norme PCI DSS, qui encadre les paiements par carte, doivent notamment faire des scans de vulnérabilités et des tests d'intrusion périodiques.\n\n## Démasquer l'étiquette : six questions à poser\n\nPeu importe le nom inscrit sur la soumission, ces questions vous diront ce que vous achetez vraiment :\n\n- [ ] Le livrable est-il une liste brute de failles, ou des preuves d'exploitation ?\n- [ ] Combien de jours de travail manuel sont prévus, et par qui ?\n- [ ] Les processus et les personnes sont-ils évalués, ou seulement la technique ?\n- [ ] Les faux positifs sont-ils triés avant la remise du rapport ?\n- [ ] La méthodologie ou le référentiel utilisé est-il nommé ?\n- [ ] Une vérification est-elle prévue après vos corrections ?\n\nSi la réponse à la première question est « une liste brute » et qu'il n'y a aucun travail manuel, vous achetez un scan, quel que soit le nom du service. Ce n'est pas un problème en soi, tant que le prix correspond.\n\n## L'ordre logique pour une PME\n\nPour la plupart des PME québécoises, cette séquence donne le meilleur rendement :\n\n1. **Audit** pour savoir où vous en êtes et quoi corriger en premier.\n2. **Corrections** des lacunes prioritaires : authentification multifacteur, correctifs, sauvegardes hors ligne, comptes inactifs.\n3. **Scans réguliers** pour vérifier que les corrections durent dans le temps.\n4. **Test d'intrusion** pour valider le tout avec un regard d'attaquant.\n\nL'erreur la plus fréquente ? Commander un test d'intrusion coûteux avant d'avoir réglé les bases, et payer des spécialistes pour qu'ils vous disent ce qu'une liste de vérification aurait révélé. L'inverse existe aussi : se contenter de scans automatiques pendant des années et croire que « tout est vert ».\n\nSi l'évaluation est demandée par un assureur, notre article sur le [questionnaire d'assurance cyber](\u002Fblogue\u002Fassurance-cyber-questionnaire-assureur) vous aidera à préparer les réponses attendues.\n\nVous hésitez encore ? Notre équipe peut commencer par un [audit de cybersécurité](\u002Fservices\u002Faudit-cybersecurite) et vous recommander, à la fin, si un test d'intrusion est justifié dans votre cas.\n\n::cta{variant=\"audit\"}\n::\n",{"title":47,"description":440},[458,461,464,467,470],{"title":459,"url":460},"NIST SP 800-115 : Technical Guide to Information Security Testing and Assessment","https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F115\u002Ffinal",{"title":462,"url":463},"Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcontroles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations",{"title":465,"url":466},"Code criminel, art. 342.1 : utilisation non autorisée d'ordinateur","https:\u002F\u002Flaws-lois.justice.gc.ca\u002Ffra\u002Flois\u002Fc-46\u002Fsection-342.1.html",{"title":468,"url":469},"PCI Security Standards Council : PCI DSS","https:\u002F\u002Fwww.pcisecuritystandards.org\u002Fstandards\u002Fpci-dss\u002F",{"title":471,"url":472},"Packetlabs : coût moyen d'un test d'intrusion au Canada (août 2026)","https:\u002F\u002Fwww.packetlabs.net\u002Fposts\u002Fguide-to-the-average-cost-of-a-pentest-in-canada\u002F","blogue\u002Faudit-pentest-scan-vulnerabilites-differences",[89,475,476,477],"pentest","vulnérabilités","pme","audit-vs-pentest",null,"iJ8qfk_htzooUWX7OENYW5UI8pOgdmcHw234dQETNso",{"path":482},"\u002Fen\u002Fblog\u002Fsecurity-audit-vs-pentest-vs-vulnerability-scan",[484,491,497],{"path":485,"title":486,"description":487,"category":89,"minutes":27,"tags":488},"\u002Fblogue\u002Faudit-securite-google-workspace","Audit de sécurité Google Workspace : 12 réglages à vérifier","Audit de sécurité Google Workspace : super-administrateurs, validation en deux étapes, Gmail, partage Drive et applications tierces. La checklist pour PME.",[489,490,89,477],"google-workspace","infonuagique",{"path":492,"title":493,"description":494,"category":89,"minutes":27,"tags":495},"\u002Fblogue\u002Fchoisir-firme-audit-cybersecurite-quebec","Comment choisir une firme d'audit de cybersécurité au Québec","Autorisation écrite, méthode, exemple de rapport, retest, prix fixe, indépendance : 12 critères pour choisir une firme d'audit de cybersécurité au Québec.",[89,82,496,477],"fournisseur",{"path":157,"title":498,"description":499,"category":89,"minutes":27,"tags":500},"Comment se déroule un audit de cybersécurité en PME","Audit de cybersécurité pour PME au Québec : les 5 étapes, la durée réaliste, ce qui fait varier le prix et comment vous préparer pour en tirer un plan d'action.",[89,477,501],"gouvernance",1792970121511]