[{"data":1,"prerenderedAt":634},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Fchoisir-firme-audit-cybersecurite-quebec":45,"post-alt-\u002Fblogue\u002Fchoisir-firme-audit-cybersecurite-quebec":611,"post-rel-\u002Fblogue\u002Fchoisir-firme-audit-cybersecurite-quebec":613},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":350,"date":554,"description":555,"extension":556,"faq":557,"keyword":570,"meta":571,"minutes":27,"navigation":101,"path":572,"rawbody":573,"seo":574,"sources":575,"stem":603,"tags":604,"translationKey":608,"updated":609,"__hash__":610},"blog_fr\u002Fblogue\u002Fchoisir-firme-audit-cybersecurite-quebec.md","Comment choisir une firme d'audit de cybersécurité au Québec",{"type":49,"value":50,"toc":545},"minimark",[51,55,58,61,82,87,90,231,234,238,241,309,312,316,319,322,347,351,355,358,474,477,481,484,514,522,526,529,532,535,542],[52,53,54],"p",{},"Une entreprise de distribution de Drummondville demande trois soumissions pour un test d'intrusion. Elle reçoit 4 500 $, 12 000 $ et 28 000 $. La directrice générale est tentée de prendre la moins chère. Puis elle remarque que la première ne précise ni la portée, ni la méthode, ni ce qu'elle recevra à la fin.",[52,56,57],{},"Les trois firmes ne proposent tout simplement pas le même travail. Et aucun palmarès ne fera le choix à votre place : c'est à vous de comparer.",[52,59,60],{},"Ce guide ne vous dira pas quelle firme engager. Il vous donne les critères, les signaux d'alarme et les questions qui permettent de comparer des soumissions sur une base égale, que vous fassiez affaire avec nous ou non.",[62,63,66],"callout",{"title":64,"type":65},"En bref","tip",[67,68,69,73,76,79],"ul",{},[70,71,72],"li",{},"Une firme sérieuse fait signer une autorisation écrite et une portée précise avant le moindre test.",[70,74,75],{},"Demandez à voir un exemple de rapport : c'est le meilleur indice de ce que vous recevrez.",[70,77,78],{},"Comparez des soumissions à prix fixe, à portée identique, avec le retest inclus ou chiffré.",[70,80,81],{},"Vérifiez l'indépendance : des recommandations qui mènent toutes à un produit revendu sont un signal d'alarme.",[83,84,86],"h2",{"id":85},"les-12-critères-à-vérifier-avant-de-signer","Les 12 critères à vérifier avant de signer",[52,88,89],{},"Une bonne firme d'audit coche ces 12 critères et peut prouver chacun par un document, un nom ou un exemple. Imprimez la liste et cochez-la pour chaque soumission.",[67,91,94,116,126,141,151,161,171,181,191,201,211,221],{"className":92},[93],"contains-task-list",[70,95,98,104,105,109,110,115],{"className":96},[97],"task-list-item",[99,100],"input",{"disabled":101,"type":102,"aria-label":103},true,"checkbox","Autorisation écrite et règles d'engagement. Aucun test ne commence avant votre signature. Sans autorisation, un test peut constituer une infraction au Code crim"," ",[106,107,108],"strong",{},"Autorisation écrite et règles d'engagement."," Aucun test ne commence avant votre signature. Sans autorisation, un test peut constituer une infraction au Code criminel (art. 342.1). Notre article sur la ",[111,112,114],"a",{"href":113},"\u002Fblogue\u002Flettre-autorisation-test-intrusion","lettre d'autorisation de test d'intrusion"," détaille son contenu.",[70,117,119,104,122,125],{"className":118},[97],[99,120],{"disabled":101,"type":102,"aria-label":121},"Méthode documentée. La firme nomme ses référentiels : par exemple le guide NIST SP 800-115 pour les tests techniques, le Web Security Testing Guide de l'OWASP p",[106,123,124],{},"Méthode documentée."," La firme nomme ses référentiels : par exemple le guide NIST SP 800-115 pour les tests techniques, le Web Security Testing Guide de l'OWASP pour les applications Web, le NIST CSF 2.0 pour un audit global. Elle explique la part manuelle du travail.",[70,127,129,104,132,135,136,140],{"className":128},[97],[99,130],{"disabled":101,"type":102,"aria-label":131},"Exemple de rapport. Un rapport type, anonymisé ou fictif, vous montre le niveau de détail. Le nôtre est public : voyez notre exemple de rapport d'audit, et dema",[106,133,134],{},"Exemple de rapport."," Un rapport type, anonymisé ou fictif, vous montre le niveau de détail. Le nôtre est public : voyez notre ",[111,137,139],{"href":138},"\u002Fexemple-de-rapport","exemple de rapport d'audit",", et demandez l'équivalent aux autres firmes.",[70,142,144,104,147,150],{"className":143},[97],[99,145],{"disabled":101,"type":102,"aria-label":146},"Rapport en français clair. Un résumé pour la direction, sans jargon, puis des constats techniques pour votre fournisseur TI.",[106,148,149],{},"Rapport en français clair."," Un résumé pour la direction, sans jargon, puis des constats techniques pour votre fournisseur TI.",[70,152,154,104,157,160],{"className":153},[97],[99,155],{"disabled":101,"type":102,"aria-label":156},"Retest. Inclus, ou au moins chiffré d'avance, avec un délai pour le faire.",[106,158,159],{},"Retest."," Inclus, ou au moins chiffré d'avance, avec un délai pour le faire.",[70,162,164,104,167,170],{"className":163},[97],[99,165],{"disabled":101,"type":102,"aria-label":166},"Prix fixe. Un montant ferme pour une portée écrite, pas un taux horaire « estimé ».",[106,168,169],{},"Prix fixe."," Un montant ferme pour une portée écrite, pas un taux horaire « estimé ».",[70,172,174,104,177,180],{"className":173},[97],[99,175],{"disabled":101,"type":102,"aria-label":176},"Indépendance. La firme divulgue ses partenariats avec des fabricants et ses commissions.",[106,178,179],{},"Indépendance."," La firme divulgue ses partenariats avec des fabricants et ses commissions.",[70,182,184,104,187,190],{"className":183},[97],[99,185],{"disabled":101,"type":102,"aria-label":186},"Assurance responsabilité professionnelle. Demandez l'attestation et le montant de couverture.",[106,188,189],{},"Assurance responsabilité professionnelle."," Demandez l'attestation et le montant de couverture.",[70,192,194,104,197,200],{"className":193},[97],[99,195],{"disabled":101,"type":102,"aria-label":196},"Équipe nommée. Vous savez qui fera le travail, avec ses certifications, et s'il y a de la sous-traitance.",[106,198,199],{},"Équipe nommée."," Vous savez qui fera le travail, avec ses certifications, et s'il y a de la sous-traitance.",[70,202,204,104,207,210],{"className":203},[97],[99,205],{"disabled":101,"type":102,"aria-label":206},"Gestion des données. Chiffrement, accès limité, conservation courte et destruction attestée en fin de mandat.",[106,208,209],{},"Gestion des données."," Chiffrement, accès limité, conservation courte et destruction attestée en fin de mandat.",[70,212,214,104,217,220],{"className":213},[97],[99,215],{"disabled":101,"type":102,"aria-label":216},"Avis immédiat des failles critiques. Vous n'attendez pas le rapport final pour apprendre qu'un serveur est grand ouvert.",[106,218,219],{},"Avis immédiat des failles critiques."," Vous n'attendez pas le rapport final pour apprendre qu'un serveur est grand ouvert.",[70,222,224,104,227,230],{"className":223},[97],[99,225],{"disabled":101,"type":102,"aria-label":226},"Références. Deux ou trois clients de taille comparable qui acceptent de vous parler.",[106,228,229],{},"Références."," Deux ou trois clients de taille comparable qui acceptent de vous parler.",[52,232,233],{},"Le critère des données n'est pas qu'une bonne pratique. Si la firme accède à des renseignements personnels, l'article 18.3 de la Loi 25 exige un mandat écrit précisant les mesures de protection et l'interdiction de conserver ces renseignements après la fin du contrat. Faites valider la clause par votre conseiller juridique.",[83,235,237],{"id":236},"les-certifications-expliquées-sans-jargon","Les certifications, expliquées sans jargon",[52,239,240],{},"Une certification prouve qu'une personne a réussi un examen, pas que la firme fera du bon travail chez vous ; c'est un indice utile si vous savez ce qu'elle mesure.",[242,243,244,263],"table",{},[245,246,247],"thead",{},[248,249,250,254,257,260],"tr",{},[251,252,253],"th",{},"Certification",[251,255,256],{},"Organisme",[251,258,259],{},"Ce qu'elle mesure",[251,261,262],{},"Ce qu'elle ne dit pas",[264,265,266,281,295],"tbody",{},[248,267,268,272,275,278],{},[269,270,271],"td",{},"OSCP \u002F OSCP+",[269,273,274],{},"OffSec",[269,276,277],{},"Examen pratique surveillé de 24 heures : attaquer de vraies machines et rédiger un rapport. L'OSCP+ expire après trois ans.",[269,279,280],{},"La capacité à vulgariser pour une direction de PME",[248,282,283,286,289,292],{},[269,284,285],{},"GPEN",[269,287,288],{},"GIAC",[269,290,291],{},"Examen surveillé de 82 questions en trois heures sur la méthode : planification, reconnaissance, exploitation, attaques de mots de passe, Azure",[269,293,294],{},"L'expérience réelle en mandat",[248,296,297,300,303,306],{},[269,298,299],{},"CISSP",[269,301,302],{},"ISC2",[269,304,305],{},"Cinq ans d'expérience exigés ; gestion d'un programme de sécurité, pour praticiens expérimentés et gestionnaires",[269,307,308],{},"Ce n'est pas une certification de test d'intrusion technique",[52,310,311],{},"Les certifications sont propres à la personne, pas à la firme. Demandez donc lesquelles détiennent les gens assignés à votre mandat, pas celles qui figurent sur le site Web.",[83,313,315],{"id":314},"les-signaux-dalarme","Les signaux d'alarme",[52,317,318],{},"Si une firme commence à tester avant votre signature, refuse de mettre la portée par écrit ou ne peut montrer aucun exemple de rapport, passez à la suivante.",[52,320,321],{},"D'autres signaux méritent une question franche :",[67,323,324,327,335,338,341,344],{},[70,325,326],{},"« On a déjà jeté un coup d'œil à votre site » : un balayage non sollicité, avant toute autorisation.",[70,328,329,330,334],{},"Un « test d'intrusion » qui ressemble à l'export brut d'un scanner automatisé. Notre guide pour ",[111,331,333],{"href":332},"\u002Fblogue\u002Flire-rapport-test-intrusion","lire un rapport de test d'intrusion"," vous aide à faire la différence.",[70,336,337],{},"Une promesse de résultat : « après notre audit, vous serez 100 % protégés ».",[70,339,340],{},"Des recommandations qui pointent toutes vers un produit que la firme revend.",[70,342,343],{},"Aucune clause sur vos données, ou des données conservées « au cas où ».",[70,345,346],{},"La pression commerciale : rabais valide jusqu'à vendredi, audit « gratuit » qui se transforme en contrat de services gérés.",[348,349],"cta",{"variant":350},"audit",[83,352,354],{"id":353},"ce-que-vous-devriez-obtenir-le-tableau-comparatif","Ce que vous devriez obtenir : le tableau comparatif",[52,356,357],{},"Pour comparer deux soumissions, mettez-les côte à côte sur ces lignes ; une case vide est une question à poser par écrit.",[242,359,360,373],{},[245,361,362],{},[248,363,364,367,370],{},[251,365,366],{},"Élément",[251,368,369],{},"Ce que vous devriez obtenir",[251,371,372],{},"Signal d'alarme",[264,374,375,386,397,408,419,430,441,452,463],{},[248,376,377,380,383],{},[269,378,379],{},"Portée",[269,381,382],{},"Liste des systèmes, adresses, applications et exclusions",[269,384,385],{},"« On va regarder votre réseau »",[248,387,388,391,394],{},[269,389,390],{},"Autorisation",[269,392,393],{},"Lettre signée, dates, contacts d'urgence",[269,395,396],{},"Aucun document avant le début",[248,398,399,402,405],{},[269,400,401],{},"Méthode",[269,403,404],{},"Référentiels nommés, part manuelle expliquée",[269,406,407],{},"« Notre outil maison »",[248,409,410,413,416],{},[269,411,412],{},"Rapport",[269,414,415],{},"Résumé pour la direction, constats avec preuves et correctifs priorisés",[269,417,418],{},"Liste brute de vulnérabilités",[248,420,421,424,427],{},[269,422,423],{},"Langue",[269,425,426],{},"Rapport en français et présentation des résultats",[269,428,429],{},"Anglais seulement, aucune rencontre",[248,431,432,435,438],{},[269,433,434],{},"Retest",[269,436,437],{},"Inclus ou prix connu d'avance, délai précisé",[269,439,440],{},"Facturé à l'heure, sans plafond",[248,442,443,446,449],{},[269,444,445],{},"Prix",[269,447,448],{},"Montant fixe pour la portée écrite",[269,450,451],{},"Taux horaire sans maximum",[248,453,454,457,460],{},[269,455,456],{},"Données",[269,458,459],{},"Chiffrement, conservation limitée, attestation de destruction",[269,461,462],{},"Aucune clause",[248,464,465,468,471],{},[269,466,467],{},"Équipe",[269,469,470],{},"Noms, rôles et certifications des intervenants",[269,472,473],{},"Sous-traitance non divulguée",[52,475,476],{},"Côté budget, des blogues de fournisseurs canadiens publiés en 2025 et 2026 situent un test d'intrusion entre 5 000 $ et plus de 150 000 $ selon la portée, et notent que le retest est souvent facturé à part. Ce sont des fourchettes de marché indicatives : seule une portée écrite permet de comparer des prix.",[83,478,480],{"id":479},"les-questions-à-poser-en-rencontre","Les questions à poser en rencontre",[52,482,483],{},"Les meilleures questions sont celles dont la réponse se vérifie : demandez un document, un nom ou un exemple plutôt qu'une promesse.",[485,486,487,490,493,496,499,502,505,508,511],"ol",{},[70,488,489],{},"Qui, précisément, fera le travail ? Quelles sont ses certifications et son expérience dans des entreprises comme la nôtre ?",[70,491,492],{},"Pouvez-vous nous montrer un rapport type ?",[70,494,495],{},"Quelle part du test est manuelle, et quels outils utilisez-vous ?",[70,497,498],{},"Que se passe-t-il si vous trouvez une faille critique en plein test ?",[70,500,501],{},"Le retest est-il inclus ? Dans quel délai ?",[70,503,504],{},"Recevez-vous des commissions sur des produits que vous pourriez nous recommander ?",[70,506,507],{},"Où seront stockées nos données pendant le mandat, et quand seront-elles détruites ?",[70,509,510],{},"Pouvez-vous nous fournir votre attestation d'assurance responsabilité professionnelle ?",[70,512,513],{},"Pouvons-nous parler à deux clients de taille comparable ?",[52,515,516,517,521],{},"Une rencontre de découverte sans engagement sert justement à poser ces questions avant de demander une soumission. Nous offrons une ",[111,518,520],{"href":519},"\u002Fdiscussion-gratuite","discussion gratuite de 30 minutes"," pour cela ; faites l'exercice avec chaque firme que vous considérez.",[83,523,525],{"id":524},"bien-préparer-votre-demande-de-soumission","Bien préparer votre demande de soumission",[52,527,528],{},"Plus votre demande est précise, plus les soumissions sont comparables : envoyez la même description à chaque firme.",[52,530,531],{},"Indiquez au minimum le nombre d'employés et de postes, vos principaux systèmes (Microsoft 365 ou Google Workspace, serveurs, site Web, logiciels infonuagiques), ce qui vous inquiète le plus, vos obligations (Loi 25, questionnaire d'assurance, exigence d'un client) et votre échéance. Précisez aussi qui, chez vous, signera l'autorisation et qui recevra le rapport.",[52,533,534],{},"Un cabinet d'ingénieurs de Sherbrooke qui envoie ce genre de description à trois firmes reçoit trois soumissions qui parlent enfin de la même chose. Il peut alors choisir sur la qualité du rapport, la clarté des réponses et le prix, dans cet ordre.",[52,536,537,538,541],{},"Pour voir comment nous décrivons notre propre portée et nos livrables, consultez notre page ",[111,539,540],{"href":5},"audit de cybersécurité",", et comparez-la avec celles des autres firmes.",[348,543],{"variant":544},"devis",{"title":546,"searchDepth":11,"depth":15,"links":547},"",[548,549,550,551,552,553],{"id":85,"depth":11,"text":86},{"id":236,"depth":11,"text":237},{"id":314,"depth":11,"text":315},{"id":353,"depth":11,"text":354},{"id":479,"depth":11,"text":480},{"id":524,"depth":11,"text":525},"2026-10-24","Autorisation écrite, méthode, exemple de rapport, retest, prix fixe, indépendance : 12 critères pour choisir une firme d'audit de cybersécurité au Québec.","md",[558,561,564,567],{"q":559,"a":560},"Comment choisir une firme de cybersécurité pour faire un audit ou un test d'intrusion ?","Comparez au moins deux firmes sur des éléments vérifiables : une portée et une autorisation écrites avant tout test, une méthode fondée sur des référentiels reconnus, un exemple de rapport, un prix fixe, un retest inclus ou chiffré et une clause sur la destruction de vos données. Demandez aussi qui fera le travail et parlez à des clients de taille comparable. Une firme qui ne peut documenter ces points n'est pas prête à travailler pour vous.",{"q":562,"a":563},"Quelles certifications un testeur d'intrusion devrait-il avoir ?","Les plus courantes sont l'OSCP d'OffSec (examen pratique de 24 heures), le GPEN de GIAC (examen surveillé sur la méthode de test d'intrusion) et le CISSP d'ISC2, qui exige cinq ans d'expérience et vise plutôt la gestion d'un programme de sécurité. Une certification prouve qu'une personne a réussi un examen, pas la qualité du livrable. Exigez donc aussi un exemple de rapport et des références.",{"q":565,"a":566},"Combien coûte un audit de cybersécurité ou un test d'intrusion au Québec ?","Selon des blogues de fournisseurs canadiens publiés en 2025 et 2026, un test d'intrusion coûte de 5 000 $ à plus de 150 000 $ selon la portée, et un petit test externe se situe autour de 5 000 à 10 000 $. Ces fourchettes sont indicatives. Le retest est souvent facturé à part : demandez une soumission à prix fixe qui le précise.",{"q":568,"a":569},"Une firme qui vend aussi des logiciels de sécurité peut-elle faire mon audit ?","Oui, mais c'est un conflit d'intérêts potentiel : la firme peut être tentée de recommander les produits qu'elle revend. Demandez-lui de divulguer par écrit ses partenariats et commissions, et exigez des recommandations formulées en besoins (par exemple « authentification multifacteur sur tous les comptes ») plutôt qu'en marques.","choisir une firme d'audit de cybersécurité",{},"\u002Fblogue\u002Fchoisir-firme-audit-cybersecurite-quebec","---\ntitle: \"Comment choisir une firme d'audit de cybersécurité au Québec\"\ndescription: \"Autorisation écrite, méthode, exemple de rapport, retest, prix fixe, indépendance : 12 critères pour choisir une firme d'audit de cybersécurité au Québec.\"\ndate: 2026-10-24\ncategory: audit\ntags: [\"audit\", \"test d'intrusion\", \"fournisseur\", \"pme\"]\ntranslationKey: choisir-firme\nkeyword: \"choisir une firme d'audit de cybersécurité\"\nfaq:\n  - q: \"Comment choisir une firme de cybersécurité pour faire un audit ou un test d'intrusion ?\"\n    a: \"Comparez au moins deux firmes sur des éléments vérifiables : une portée et une autorisation écrites avant tout test, une méthode fondée sur des référentiels reconnus, un exemple de rapport, un prix fixe, un retest inclus ou chiffré et une clause sur la destruction de vos données. Demandez aussi qui fera le travail et parlez à des clients de taille comparable. Une firme qui ne peut documenter ces points n'est pas prête à travailler pour vous.\"\n  - q: \"Quelles certifications un testeur d'intrusion devrait-il avoir ?\"\n    a: \"Les plus courantes sont l'OSCP d'OffSec (examen pratique de 24 heures), le GPEN de GIAC (examen surveillé sur la méthode de test d'intrusion) et le CISSP d'ISC2, qui exige cinq ans d'expérience et vise plutôt la gestion d'un programme de sécurité. Une certification prouve qu'une personne a réussi un examen, pas la qualité du livrable. Exigez donc aussi un exemple de rapport et des références.\"\n  - q: \"Combien coûte un audit de cybersécurité ou un test d'intrusion au Québec ?\"\n    a: \"Selon des blogues de fournisseurs canadiens publiés en 2025 et 2026, un test d'intrusion coûte de 5 000 $ à plus de 150 000 $ selon la portée, et un petit test externe se situe autour de 5 000 à 10 000 $. Ces fourchettes sont indicatives. Le retest est souvent facturé à part : demandez une soumission à prix fixe qui le précise.\"\n  - q: \"Une firme qui vend aussi des logiciels de sécurité peut-elle faire mon audit ?\"\n    a: \"Oui, mais c'est un conflit d'intérêts potentiel : la firme peut être tentée de recommander les produits qu'elle revend. Demandez-lui de divulguer par écrit ses partenariats et commissions, et exigez des recommandations formulées en besoins (par exemple « authentification multifacteur sur tous les comptes ») plutôt qu'en marques.\"\nsources:\n  - title: \"Justice Canada : Code criminel, article 342.1 (Utilisation non autorisée d'ordinateur)\"\n    url: \"https:\u002F\u002Flaws-lois.justice.gc.ca\u002Ffra\u002Flois\u002Fc-46\u002Fsection-342.1.html\"\n  - title: \"NIST SP 800-115 : Technical Guide to Information Security Testing and Assessment (2008)\"\n    url: \"https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F115\u002Ffinal\"\n  - title: \"OWASP : Web Security Testing Guide\"\n    url: \"https:\u002F\u002Fowasp.org\u002Fwww-project-web-security-testing-guide\u002F\"\n  - title: \"OffSec : PEN-200 et certification OSCP\"\n    url: \"https:\u002F\u002Fwww.offsec.com\u002Fcourses\u002Fpen-200\u002F\"\n  - title: \"GIAC : GIAC Penetration Tester (GPEN)\"\n    url: \"https:\u002F\u002Fwww.giac.org\u002Fcertifications\u002Fpenetration-tester-gpen\u002F\"\n  - title: \"ISC2 : CISSP\"\n    url: \"https:\u002F\u002Fwww.isc2.org\u002Fcertifications\u002Fcissp\"\n  - title: \"LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)\"\n    url: \"https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1\"\n  - title: \"Packetlabs : Guide to the Average Cost of a Pentest in Canada\"\n    url: \"https:\u002F\u002Fwww.packetlabs.net\u002Fposts\u002Fguide-to-the-average-cost-of-a-pentest-in-canada\u002F\"\n  - title: \"Stingrai : Average Cost of a Pentest in Canada (2026)\"\n    url: \"https:\u002F\u002Fwww.stingrai.io\u002Fblog\u002Faverage-cost-of-pentest-canada-2026\"\n---\n\nUne entreprise de distribution de Drummondville demande trois soumissions pour un test d'intrusion. Elle reçoit 4 500 $, 12 000 $ et 28 000 $. La directrice générale est tentée de prendre la moins chère. Puis elle remarque que la première ne précise ni la portée, ni la méthode, ni ce qu'elle recevra à la fin.\n\nLes trois firmes ne proposent tout simplement pas le même travail. Et aucun palmarès ne fera le choix à votre place : c'est à vous de comparer.\n\nCe guide ne vous dira pas quelle firme engager. Il vous donne les critères, les signaux d'alarme et les questions qui permettent de comparer des soumissions sur une base égale, que vous fassiez affaire avec nous ou non.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- Une firme sérieuse fait signer une autorisation écrite et une portée précise avant le moindre test.\n- Demandez à voir un exemple de rapport : c'est le meilleur indice de ce que vous recevrez.\n- Comparez des soumissions à prix fixe, à portée identique, avec le retest inclus ou chiffré.\n- Vérifiez l'indépendance : des recommandations qui mènent toutes à un produit revendu sont un signal d'alarme.\n::\n\n## Les 12 critères à vérifier avant de signer\n\nUne bonne firme d'audit coche ces 12 critères et peut prouver chacun par un document, un nom ou un exemple. Imprimez la liste et cochez-la pour chaque soumission.\n\n- [ ] **Autorisation écrite et règles d'engagement.** Aucun test ne commence avant votre signature. Sans autorisation, un test peut constituer une infraction au Code criminel (art. 342.1). Notre article sur la [lettre d'autorisation de test d'intrusion](\u002Fblogue\u002Flettre-autorisation-test-intrusion) détaille son contenu.\n- [ ] **Méthode documentée.** La firme nomme ses référentiels : par exemple le guide NIST SP 800-115 pour les tests techniques, le Web Security Testing Guide de l'OWASP pour les applications Web, le NIST CSF 2.0 pour un audit global. Elle explique la part manuelle du travail.\n- [ ] **Exemple de rapport.** Un rapport type, anonymisé ou fictif, vous montre le niveau de détail. Le nôtre est public : voyez notre [exemple de rapport d'audit](\u002Fexemple-de-rapport), et demandez l'équivalent aux autres firmes.\n- [ ] **Rapport en français clair.** Un résumé pour la direction, sans jargon, puis des constats techniques pour votre fournisseur TI.\n- [ ] **Retest.** Inclus, ou au moins chiffré d'avance, avec un délai pour le faire.\n- [ ] **Prix fixe.** Un montant ferme pour une portée écrite, pas un taux horaire « estimé ».\n- [ ] **Indépendance.** La firme divulgue ses partenariats avec des fabricants et ses commissions.\n- [ ] **Assurance responsabilité professionnelle.** Demandez l'attestation et le montant de couverture.\n- [ ] **Équipe nommée.** Vous savez qui fera le travail, avec ses certifications, et s'il y a de la sous-traitance.\n- [ ] **Gestion des données.** Chiffrement, accès limité, conservation courte et destruction attestée en fin de mandat.\n- [ ] **Avis immédiat des failles critiques.** Vous n'attendez pas le rapport final pour apprendre qu'un serveur est grand ouvert.\n- [ ] **Références.** Deux ou trois clients de taille comparable qui acceptent de vous parler.\n\nLe critère des données n'est pas qu'une bonne pratique. Si la firme accède à des renseignements personnels, l'article 18.3 de la Loi 25 exige un mandat écrit précisant les mesures de protection et l'interdiction de conserver ces renseignements après la fin du contrat. Faites valider la clause par votre conseiller juridique.\n\n## Les certifications, expliquées sans jargon\n\nUne certification prouve qu'une personne a réussi un examen, pas que la firme fera du bon travail chez vous ; c'est un indice utile si vous savez ce qu'elle mesure.\n\n| Certification | Organisme | Ce qu'elle mesure | Ce qu'elle ne dit pas |\n|---|---|---|---|\n| OSCP \u002F OSCP+ | OffSec | Examen pratique surveillé de 24 heures : attaquer de vraies machines et rédiger un rapport. L'OSCP+ expire après trois ans. | La capacité à vulgariser pour une direction de PME |\n| GPEN | GIAC | Examen surveillé de 82 questions en trois heures sur la méthode : planification, reconnaissance, exploitation, attaques de mots de passe, Azure | L'expérience réelle en mandat |\n| CISSP | ISC2 | Cinq ans d'expérience exigés ; gestion d'un programme de sécurité, pour praticiens expérimentés et gestionnaires | Ce n'est pas une certification de test d'intrusion technique |\n\nLes certifications sont propres à la personne, pas à la firme. Demandez donc lesquelles détiennent les gens assignés à votre mandat, pas celles qui figurent sur le site Web.\n\n## Les signaux d'alarme\n\nSi une firme commence à tester avant votre signature, refuse de mettre la portée par écrit ou ne peut montrer aucun exemple de rapport, passez à la suivante.\n\nD'autres signaux méritent une question franche :\n\n- « On a déjà jeté un coup d'œil à votre site » : un balayage non sollicité, avant toute autorisation.\n- Un « test d'intrusion » qui ressemble à l'export brut d'un scanner automatisé. Notre guide pour [lire un rapport de test d'intrusion](\u002Fblogue\u002Flire-rapport-test-intrusion) vous aide à faire la différence.\n- Une promesse de résultat : « après notre audit, vous serez 100 % protégés ».\n- Des recommandations qui pointent toutes vers un produit que la firme revend.\n- Aucune clause sur vos données, ou des données conservées « au cas où ».\n- La pression commerciale : rabais valide jusqu'à vendredi, audit « gratuit » qui se transforme en contrat de services gérés.\n\n::cta{variant=\"audit\"}\n::\n\n## Ce que vous devriez obtenir : le tableau comparatif\n\nPour comparer deux soumissions, mettez-les côte à côte sur ces lignes ; une case vide est une question à poser par écrit.\n\n| Élément | Ce que vous devriez obtenir | Signal d'alarme |\n|---|---|---|\n| Portée | Liste des systèmes, adresses, applications et exclusions | « On va regarder votre réseau » |\n| Autorisation | Lettre signée, dates, contacts d'urgence | Aucun document avant le début |\n| Méthode | Référentiels nommés, part manuelle expliquée | « Notre outil maison » |\n| Rapport | Résumé pour la direction, constats avec preuves et correctifs priorisés | Liste brute de vulnérabilités |\n| Langue | Rapport en français et présentation des résultats | Anglais seulement, aucune rencontre |\n| Retest | Inclus ou prix connu d'avance, délai précisé | Facturé à l'heure, sans plafond |\n| Prix | Montant fixe pour la portée écrite | Taux horaire sans maximum |\n| Données | Chiffrement, conservation limitée, attestation de destruction | Aucune clause |\n| Équipe | Noms, rôles et certifications des intervenants | Sous-traitance non divulguée |\n\nCôté budget, des blogues de fournisseurs canadiens publiés en 2025 et 2026 situent un test d'intrusion entre 5 000 $ et plus de 150 000 $ selon la portée, et notent que le retest est souvent facturé à part. Ce sont des fourchettes de marché indicatives : seule une portée écrite permet de comparer des prix.\n\n## Les questions à poser en rencontre\n\nLes meilleures questions sont celles dont la réponse se vérifie : demandez un document, un nom ou un exemple plutôt qu'une promesse.\n\n1. Qui, précisément, fera le travail ? Quelles sont ses certifications et son expérience dans des entreprises comme la nôtre ?\n2. Pouvez-vous nous montrer un rapport type ?\n3. Quelle part du test est manuelle, et quels outils utilisez-vous ?\n4. Que se passe-t-il si vous trouvez une faille critique en plein test ?\n5. Le retest est-il inclus ? Dans quel délai ?\n6. Recevez-vous des commissions sur des produits que vous pourriez nous recommander ?\n7. Où seront stockées nos données pendant le mandat, et quand seront-elles détruites ?\n8. Pouvez-vous nous fournir votre attestation d'assurance responsabilité professionnelle ?\n9. Pouvons-nous parler à deux clients de taille comparable ?\n\nUne rencontre de découverte sans engagement sert justement à poser ces questions avant de demander une soumission. Nous offrons une [discussion gratuite de 30 minutes](\u002Fdiscussion-gratuite) pour cela ; faites l'exercice avec chaque firme que vous considérez.\n\n## Bien préparer votre demande de soumission\n\nPlus votre demande est précise, plus les soumissions sont comparables : envoyez la même description à chaque firme.\n\nIndiquez au minimum le nombre d'employés et de postes, vos principaux systèmes (Microsoft 365 ou Google Workspace, serveurs, site Web, logiciels infonuagiques), ce qui vous inquiète le plus, vos obligations (Loi 25, questionnaire d'assurance, exigence d'un client) et votre échéance. Précisez aussi qui, chez vous, signera l'autorisation et qui recevra le rapport.\n\nUn cabinet d'ingénieurs de Sherbrooke qui envoie ce genre de description à trois firmes reçoit trois soumissions qui parlent enfin de la même chose. Il peut alors choisir sur la qualité du rapport, la clarté des réponses et le prix, dans cet ordre.\n\nPour voir comment nous décrivons notre propre portée et nos livrables, consultez notre page [audit de cybersécurité](\u002Fservices\u002Faudit-cybersecurite), et comparez-la avec celles des autres firmes.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":555},[576,579,582,585,588,591,594,597,600],{"title":577,"url":578},"Justice Canada : Code criminel, article 342.1 (Utilisation non autorisée d'ordinateur)","https:\u002F\u002Flaws-lois.justice.gc.ca\u002Ffra\u002Flois\u002Fc-46\u002Fsection-342.1.html",{"title":580,"url":581},"NIST SP 800-115 : Technical Guide to Information Security Testing and Assessment (2008)","https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F115\u002Ffinal",{"title":583,"url":584},"OWASP : Web Security Testing Guide","https:\u002F\u002Fowasp.org\u002Fwww-project-web-security-testing-guide\u002F",{"title":586,"url":587},"OffSec : PEN-200 et certification OSCP","https:\u002F\u002Fwww.offsec.com\u002Fcourses\u002Fpen-200\u002F",{"title":589,"url":590},"GIAC : GIAC Penetration Tester (GPEN)","https:\u002F\u002Fwww.giac.org\u002Fcertifications\u002Fpenetration-tester-gpen\u002F",{"title":592,"url":593},"ISC2 : CISSP","https:\u002F\u002Fwww.isc2.org\u002Fcertifications\u002Fcissp",{"title":595,"url":596},"LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)","https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1",{"title":598,"url":599},"Packetlabs : Guide to the Average Cost of a Pentest in Canada","https:\u002F\u002Fwww.packetlabs.net\u002Fposts\u002Fguide-to-the-average-cost-of-a-pentest-in-canada\u002F",{"title":601,"url":602},"Stingrai : Average Cost of a Pentest in Canada (2026)","https:\u002F\u002Fwww.stingrai.io\u002Fblog\u002Faverage-cost-of-pentest-canada-2026","blogue\u002Fchoisir-firme-audit-cybersecurite-quebec",[350,605,606,607],"test d'intrusion","fournisseur","pme","choisir-firme",null,"2psF7tAaYdJIZwy2kKNZzccfo47c7yP-Dg88VGxxRDw",{"path":612},"\u002Fen\u002Fblog\u002Fhow-to-choose-cybersecurity-audit-firm-quebec",[614,621,628],{"path":615,"title":616,"description":617,"category":350,"minutes":27,"tags":618},"\u002Fblogue\u002Faudit-securite-google-workspace","Audit de sécurité Google Workspace : 12 réglages à vérifier","Audit de sécurité Google Workspace : super-administrateurs, validation en deux étapes, Gmail, partage Drive et applications tierces. La checklist pour PME.",[619,620,350,607],"google-workspace","infonuagique",{"path":622,"title":623,"description":624,"category":350,"minutes":27,"tags":625},"\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences","Audit vs pentest vs scan de vulnérabilités : lequel choisir ?","Audit, test d'intrusion ou scan de vulnérabilités ? Les vraies différences, ce que chacun livre et l'ordre logique pour une PME québécoise qui veut investir.",[350,626,627,607],"pentest","vulnérabilités",{"path":629,"title":630,"description":631,"category":350,"minutes":27,"tags":632},"\u002Fblogue\u002Faudit-cybersecurite-pme-quebec","Comment se déroule un audit de cybersécurité en PME","Audit de cybersécurité pour PME au Québec : les 5 étapes, la durée réaliste, ce qui fait varier le prix et comment vous préparer pour en tirer un plan d'action.",[350,607,633],"gouvernance",1792970121576]