À quelle fréquence réaliser un test d'intrusion ?How often should you run a penetration test?
La question revient à chaque exercice budgétaire, souvent formulée en cherchant un rythme unique. Or la bonne fréquence n'est pas une constante : elle dépend du rythme de changement de votre système d'information, de votre exposition et de la criticité de vos activités. Un rythme annuel systématique peut être trop lent pour une plateforme en évolution continue et disproportionné pour un périmètre stable.The question comes back at every budget cycle, usually framed as a search for a single rhythm. Yet the right frequency is not a constant: it depends on how fast your information system changes, on your exposure and on the criticality of your activities. A systematic annual rhythm can be too slow for a continuously evolving platform and disproportionate for a stable scope.
Trois critères pour fixer un rythmeThree criteria to set a rhythm
Le premier critère est le rythme de changement : plus votre système évolue, plus l'écart se creuse vite entre le dernier rapport et la réalité. Le deuxième est l'exposition : un service accessible depuis Internet mérite une attention plus fréquente qu'un système interne isolé. Le troisième est la criticité métier : l'indisponibilité ou la compromission de certains actifs a un impact sans commune mesure avec d'autres. Croiser ces trois axes donne un rythme différencié par périmètre, plus juste qu'une périodicité unique.The first criterion is the pace of change: the faster your system evolves, the quicker the gap widens between the last report and reality. The second is exposure: an Internet-facing service warrants more frequent attention than an isolated internal system. The third is business criticality: the unavailability or compromise of some assets has an impact incomparable with others. Crossing these three axes yields a cadence differentiated by scope, which is fairer than a single periodicity.
- Rythme de changement du périmètre concerné
- Exposition, d'Internet vers un réseau interne isolé
- Criticité métier des données et des processus portés
- Un rythme par périmètre plutôt qu'une périodicité unique pour tout
- Pace of change of the scope concerned
- Exposure, from Internet-facing to isolated internal networks
- Business criticality of the data and processes carried
- A cadence per scope rather than a single periodicity for everything
Les événements qui déclenchent un test hors calendrierEvents that trigger an off-calendar test
Indépendamment du rythme retenu, certains événements justifient une évaluation dédiée : mise en production d'une application exposée, refonte d'architecture, migration vers le cloud, ouverture d'un accès distant, intégration d'une entité après acquisition, ou changement de prestataire d'infogérance. Ces moments introduisent des configurations nouvelles et des zones de responsabilité mal définies, deux facteurs qui produisent régulièrement les constats les plus significatifs.Whatever cadence is chosen, certain events justify a dedicated assessment: going live with an exposed application, an architecture overhaul, a cloud migration, opening remote access, integrating an entity after an acquisition, or changing managed service provider. These moments introduce new configurations and poorly defined responsibility boundaries, two factors that regularly produce the most significant findings.
- Mise en production d'un service exposé ou refonte d'architecture
- Migration vers le cloud ou changement d'hébergeur
- Intégration d'une entité acquise, avec son parc et ses pratiques
- Changement de prestataire d'infogérance ou de modèle de responsabilité
- Go-live of an exposed service or an architecture overhaul
- Cloud migration or change of hosting provider
- Integration of an acquired entity, with its estate and practices
- Change of managed service provider or responsibility model
Construire un cycle plutôt qu'un événement isoléBuilding a cycle rather than an isolated event
Le schéma le plus efficace combine une supervision continue des vulnérabilités connues, une campagne de test manuel à intervalle défini par périmètre, et un contre-test après chaque campagne de correction. Cette logique de cycle produit un indicateur de progression, alors qu'un test isolé ne donne qu'une photographie. S2I Consulting s'inscrit dans cette approche avec des missions internes et externes assorties d'un rapport priorisé et d'un contre-test, planifiables sur plusieurs exercices.The most effective pattern combines continuous monitoring of known vulnerabilities, a manual testing campaign at an interval defined per scope, and a retest after each remediation campaign. This cycle logic produces a progress indicator, whereas an isolated test only gives a snapshot. S2I Consulting fits this approach with internal and external engagements accompanied by a prioritised report and a retest, plannable across several budget years.
- Supervision continue entre deux campagnes de test manuel
- Campagne manuelle à intervalle défini, différencié par périmètre
- Contre-test systématique après chaque vague de correction
- Planifier sur plusieurs exercices plutôt que d'arbitrer chaque année
- Continuous monitoring between manual testing campaigns
- A manual campaign at a defined interval, differentiated per scope
- A systematic retest after each remediation wave
- Plan across several budget years rather than deciding annually
Repères de configurationConfiguration guidance
Repères indicatifs : la configuration finale est validée avec vous selon vos contraintes réelles (charge, budget, environnement).Indicative guidance: the final configuration is validated with you against your real constraints (workload, budget, environment).
Questions fréquentesFrequently asked questions
Un besoin précis à chiffrer ?A specific need to quote?
Décrivez votre contexte : nous revenons sous 24 à 72 heures avec une approche et un devis.Tell us your context: we come back within 24-72 hours with an approach and a quote.