L’audit examine une situation selon un objectif défini
Le terme audit peut désigner une revue de configuration, d’organisation ou d’exposition. Il faut donc préciser ce qui est examiné et sur quelle base. Si votre objectif est de connaître les actifs visibles depuis Internet, un audit d’exposition constitue une démarche différente d’une revue de code ou d’une vérification des procédures.
Le pentest cherche à vérifier une exploitation
Le test d’intrusion met à l’épreuve des systèmes convenus, avec des accès et des règles définis. Il peut apporter des éléments concrets sur les conséquences d’une faille. Il ne couvre pas automatiquement toute l’organisation et ne constitue pas une garantie générale de sécurité.
Choisir une démarche ou les articuler
Commencez par la décision attendue : connaître ce qui est exposé, vérifier une application ou améliorer des pratiques. Un inventaire insuffisant peut justifier une phase d’exposition avant un pentest. Un problème repéré dans le logiciel peut appeler une revue de code. Demandez une explication claire de ce que chaque mission démontrera, et de ce qu’elle ne démontrera pas.