# Test d'intrusion, scan, bug bounty ou red team : que choisir ?

Source : https://cybercaribou.com/comparatifs/pentest-vs-scan-vs-bug-bounty · Cyber Caribou

> Scan de vulnérabilités, test d'intrusion, bug bounty ou red team : objectifs, fréquence, coûts indicatifs et maturité requise pour une PME du Québec.

Votre assureur demande si vous faites des « scans ». Un client exige un « test de sécurité ». Un consultant vous parle de bug bounty, un autre de red team. Les quatre termes se ressemblent, mais ils ne répondent pas à la même question et n'ont pas du tout le même prix.

Pour la différence avec l'audit de cybersécurité, voyez notre article [audit, pentest ou scan de vulnérabilités](https://cybercaribou.com/blogue/audit-pentest-scan-vulnerabilites-differences). Ici, nous comparons les quatre façons de chercher activement des failles dans vos systèmes.

- Nous comparons des approches, pas des fournisseurs. Les définitions et recommandations proviennent du NIST, du NCSC britannique, de l'OWASP et du texte de PCI DSS 4.0.1, consultés en octobre 2026.
- Critères retenus : question à laquelle chaque approche répond, profondeur, fréquence, portée, faux positifs, détection, exigences PCI DSS, cadre légal, coût et maturité requise.
- Les prix sont des fourchettes de marché indicatives publiées par des fournisseurs, pas nos tarifs.
- Ce comparatif n'est pas commandité.

## Quatre approches, quatre questions

Le **scan de vulnérabilités** est un outil automatisé. Il interroge vos systèmes, compare ce qu'il trouve à une base de failles connues et produit une liste. Il ne tente pas d'entrer.

Le **test d'intrusion** va plus loin. Le NCSC britannique le définit comme une façon d'obtenir l'assurance qu'un système est sécuritaire en tentant d'en percer les défenses, avec les outils et les techniques qu'un adversaire pourrait employer. Le NCSC ajoute une nuance importante : le test ne devrait pas être votre principale façon de trouver des failles, mais plutôt une vérification de votre gestion des vulnérabilités, un peu comme l'audit externe vérifie le travail de l'équipe comptable.

Le **bug bounty** invite des chercheurs externes à signaler des failles contre une récompense, généralement en argent, souvent par l'intermédiaire d'une plateforme spécialisée.

L'**exercice red team** simule une attaque réaliste contre les activités de l'organisation pour évaluer l'ensemble de ses capacités de sécurité, selon la définition du NIST. On ne cherche pas toutes les failles : on vérifie si une attaque ciblée passerait inaperçue.

## L'ordre logique pour une PME

Ces approches s'empilent plutôt qu'elles ne se remplacent.

**D'abord, le scan.** C'est l'hygiène de base. PCI DSS 4.0.1, par exemple, exige des scans internes et externes au moins tous les trois mois, les scans externes étant faits par un fournisseur approuvé (ASV). Un scan mensuel suivi de correctifs règle déjà une grande partie des problèmes.

**Ensuite, le test d'intrusion.** Il confirme ce qu'un attaquant peut réellement faire. Le NCSC rappelle qu'un test ne valide l'absence de failles connues qu'au jour du test, et qu'il s'écoule souvent un an ou plus entre deux tests : d'où l'importance des scans entre les deux. PCI DSS exige des tests interne et externe au moins tous les 12 mois et après tout changement important. Le [prix d'un test d'intrusion au Québec](https://cybercaribou.com/blogue/test-intrusion-prix-quebec) dépend surtout de la portée.

**Puis, éventuellement, le bug bounty.** L'OWASP est franc sur ses limites : beaucoup de signalements sans valeur ou de faux positifs, un budget qui peut grimper si les failles sont nombreuses, des chercheurs qui sortent parfois de la portée, et la difficulté de distinguer un test légitime d'une vraie attaque. Il le réserve aux organisations qui ont déjà un processus mature de divulgation.

**Enfin, le red team.** Il n'a de sens que si quelqu'un surveille vos alertes. Sans surveillance, l'exercice confirmera surtout que personne ne regarde.

## Le cadre légal

Un test d'intrusion ou un exercice red team exige une **autorisation écrite** du propriétaire des systèmes : sans elle, l'accès peut constituer une infraction au Code criminel (art. 342.1). Le mandat précise la portée, les dates, les techniques permises et les contacts d'urgence. Pour un bug bounty, ce sont les règles publiées du programme, avec une clause de refuge juridique, qui encadrent les chercheurs ; l'OWASP recommande d'obtenir un avis juridique avant de lancer un programme.

Si vous acceptez les cartes de crédit, le questionnaire PCI DSS qui s'applique à vous détermine ce qui est obligatoire ; notre article sur [PCI DSS 4.0.1 pour les PME](https://cybercaribou.com/blogue/pci-dss-4-pme-paiement-carte) aide à s'y retrouver.

## Comment choisir

- **Vous ne faites rien de régulier ?** Commencez par des scans mensuels, internes et externes, et un processus pour appliquer les correctifs.
- **Un client, l'assureur ou PCI DSS exige une preuve ?** Un test d'intrusion annuel, et après chaque changement majeur, avec un retest des corrections.
- **Vous exploitez une application Web ou un produit infonuagique, avec une équipe qui corrige vite ?** Une politique de divulgation d'abord, puis un programme de bug bounty privé.
- **Vous avez un SOC ou un service MDR et les bases sont solides ?** Un exercice red team mesurera si l'ensemble tient.

Pour la plupart des PME québécoises, la combinaison gagnante reste la même : des scans réguliers et un [test d'intrusion](https://cybercaribou.com/services/test-intrusion) ciblé au moins une fois par année.

## FAQ

**Un scan de vulnérabilités peut-il remplacer un test d'intrusion ?**
Non. Le scan repère des failles connues sans les exploiter et produit des faux positifs. Le test d'intrusion vérifie ce qu'un attaquant peut réellement faire, en enchaînant les failles. Les deux se complètent : le scan maintient l'hygiène toute l'année, le test valide périodiquement que votre gestion des vulnérabilités fonctionne.

**Un test d'intrusion exige-t-il une autorisation écrite ?**
Oui. Accéder à un système informatique sans autorisation peut constituer une infraction au Code criminel (art. 342.1). Le mandat doit préciser la portée, les dates, les techniques permises et les personnes à joindre. Si vos systèmes sont hébergés, vérifiez aussi les règles de votre hébergeur ou fournisseur infonuagique.

**Peut-on lancer un bug bounty sans avoir de politique de divulgation ?**
C'est déconseillé. L'OWASP recommande de réserver les programmes de primes aux organisations qui ont déjà un processus mature de divulgation des vulnérabilités, du personnel pour trier les signalements et un budget prévu. Commencez par publier une politique de divulgation et un moyen sûr de vous signaler une faille.

**Une PME a-t-elle besoin d'un exercice red team ?**
Rarement au départ. Un exercice red team mesure votre capacité à détecter et à contrer une attaque ; sans surveillance en place, il confirmera surtout que personne ne regarde. Il devient pertinent quand les scans, les correctifs et les tests d'intrusion sont réguliers et qu'une équipe surveille les alertes.

## Sources

- [NIST SP 800-115 : Technical Guide to Information Security Testing and Assessment](https://csrc.nist.gov/pubs/sp/800/115/final)
- [NCSC (Royaume-Uni) : Penetration testing](https://www.ncsc.gov.uk/guidance/penetration-testing)
- [OWASP : Vulnerability Disclosure Cheat Sheet (programmes de bug bounty)](https://cheatsheetseries.owasp.org/cheatsheets/Vulnerability_Disclosure_Cheat_Sheet.html)
- [NIST CSRC : définition de « red team exercise »](https://csrc.nist.gov/glossary/term/red_team_exercise)
- [Microsoft Learn : exigence 11 de PCI DSS (texte des exigences 11.3 et 11.4)](https://learn.microsoft.com/en-us/entra/standards/pci-requirement-11)
- [Packetlabs : coût moyen d'un test d'intrusion au Canada (août 2026)](https://www.packetlabs.net/posts/guide-to-the-average-cost-of-a-pentest-in-canada/)
- [Stingrai : coût moyen d'un test d'intrusion au Canada en 2026](https://www.stingrai.io/blog/average-cost-of-pentest-canada-2026)
- [Tenable : Nessus Professional (prix)](https://www.tenable.com/products/nessus/nessus-professional)
- [Code criminel, art. 342.1 : utilisation non autorisée d'ordinateur](https://laws-lois.justice.gc.ca/fra/lois/c-46/section-342.1.html)