FR/ENMéthodologies OWASP, PTES et NIST. Rapport en français, attestation de réalisation, re-test inclus.
Cadrage 30 min · devis sous 48 h
Black box sur tout le périmètre, puis grey box jusqu'aux données.
RAPPORT + RE-TEST30 min
Cadrage avec un expert
48 h
Devis précis
3 mois
Re-test 3 mois
100 %
Confidentiel sous NDA
[ Certifications et conformité ]
Une équipe de sécurité offensive certifiée, des rapports qui couvrent vos cadres réglementaires, une infrastructure hébergée en France.
[ Vous êtes ici parce qu'on l'exige ]
Quatre situations, un même besoin : un livrable daté, signé, opposable, avant l'échéance.
Ce qui débloque · Attestation de réalisation opposable, la pièce qui débloque le contrat.
Ce qui débloque · Rapport mappé sur son questionnaire : attestation datée, synthèse exécutive, plan de remédiation.
Ce qui débloque · Matrice de couverture rattachée à l'article 21 (NIS2) ou aux articles 24-25 (DORA).
Ce qui débloque · Pentest complet black box + grey box, rapport détaillé signé et attestation de réalisation.
[ Déroulé de mission ]
Black box sur tout le périmètre, puis grey box authentifié sur les zones sensibles. Séquentiel, jamais bâclé. Planning et délai fixés sur devis, selon votre périmètre.
Périmètre figé (IP, URL), référentiel identifié, règles d'engagement (ROE) et NDA signés, comptes de test demandés.
Ce dont on a besoin de vous : Autorisation écrite de test signée, contacts désignés
Cartographie de la surface exposée : services, technos, points d’entrée, prise d’empreinte technologique.
Ce dont on a besoin de vous : Aucun prérequis
Tests sans identifiants sur l'ensemble des URLs et IP : injections, contrôle d'accès, configuration, exposition de données, composants vulnérables (OWASP Top 10 / ASVS).
Ce dont on a besoin de vous : Aucun prérequis
Avec les comptes fournis, sur les espaces sensibles sélectionnés : logique métier, droits & sessions, élévation de privilèges, cloisonnement entre comptes.
Ce dont on a besoin de vous : Comptes de test dédiés fournis
Criticité CVSS + exploitabilité EPSS + catalogue CISA KEV, tri des faux positifs, priorisation par le risque réel.
Ce dont on a besoin de vous : Aucun
Par vulnérabilité : preuves, scénario d'exploitation, impact ; plan de remédiation priorisé ; synthèse direction ; attestation de réalisation.
Ce dont on a besoin de vous : Destinataire habilité pour le livrable
Débrief technique et direction : compréhension des risques, arbitrages, priorités de correction.
Ce dont on a besoin de vous : Disponibilité des équipes techniques et de la direction
Vérification de la bonne correction des vulnérabilités, incluse dans les 3 mois, attestation mise à jour.
Ce dont on a besoin de vous : Notification des corrections déployées
Délai et planning établis sur devis, après un cadrage de 30 min, selon votre périmètre (infrastructure exposée, application, Active Directory, cloud, réseau interne).
[ Votre référentiel ]
Référentiel identifié dès le cadrage, matrice de conformité alignée dessus.
MATRICE · À BESANÇON DOMINANTE : ISO 13485, FDA, NIS2, TISAX, RGPD/LPD transfrontalier
Un rapport mappé sur le référentiel que votre auditeur exige.
[ Deux angles d'attaque ]
Black box, tout le périmètreSANS IDENTIFIANTS
sans identifiants · toutes les URLs/IP · OWASP Top 10 / ASVS
Grey box, complément cibléAVEC UN COMPTE
comptes de test · logique métier · droits · cloisonnement
Exemple, données d'illustration
SUR TOUT LE PÉRIMÈTRE
D'abord, comme un inconnu : depuis Internet, sans identifiants, sur l'ensemble de votre périmètre exposé, injections, contrôle d'accès, config, composants vulnérables.
EN COMPLÉMENT
Ensuite, comme un utilisateur : avec des comptes de test, sur les espaces sensibles, logique métier, droits, élévation de privilèges, cloisonnement entre comptes.
Tests manuels menés par des pentesters seniors selon OWASP WSTG, ASVS et PTES, l'outillage automatise la reconnaissance, jamais l'exploitation.
Extensions sur devis : Active Directory, cloud Azure / AWS / M365, API & mobile, réseau interne, red team, voir la formule Audit étendu / sur-mesure.
[ Contexte local ]
Capitale des microtechniques, Besançon accueille des entreprises à fort savoir-faire dont la propriété intellectuelle est une cible privilégiée.
Besançon est historiquement la capitale française de l'horlogerie et aujourd'hui de la microtechnique. Le pôle Microtechnique (Pôle des Microtechniques, FEMTO-ST), associé à la proximité suisse, en fait un acteur clé des savoir-faire de précision pour l'horlogerie haut de gamme, le médical (prothèses) et l'automobile.
L'horlogerie de luxe expose au vol de designs et à la contrefaçon asiatique, tandis que le médical impose des exigences ISO 13485 et FDA alignées sur la cybersécurité des dispositifs médicaux.
La proximité suisse nourrit également un flux d'affaires transfrontalier, avec des enjeux de protection des données (RGPD vs LPD suisse) non triviaux.
CAO, PLM, CRM distributeurs premium : cibles contrefaçon et fuite.
R&D prothèses, documentation ISO 13485 : cibles vol IP et sabotage.
Sous-traitance, MES, EDI : cibles ransomware.
C'est ce tissu économique qui détermine les référentiels exigés des entreprises de Besançon, et le contenu exact de votre rapport de conformité.
[ Scénarios de menace ]
Scénarios tirés de missions réelles à Besançon, intégrés d'office au périmètre de test, pas en option.
Contrefaçon horlogère : vol de designs = perte de marque.
Sabotage dispositif médical : danger patient.
Ransomware Tier 2 automotive : rebond vers constructeurs.
[ Formules ]
Évaluation de sécurité externe pour répondre vite à une exigence de conformité de votre client ou de votre assureur.
BLACK BOX → GREY BOX → RAPPORT
Black box sur tout le périmètre, puis grey box authentifié sur les zones sensibles, pour éprouver vraiment votre SI.
Pour un périmètre large : Active Directory, cloud, API & mobile, réseau interne, red team.
Attestation de réalisation et re-test 3 mois inclus. Devis précis sous 48 h après cadrage.
→ Voir le comparatif détaillé des formules[ Livrables ]
Rapport de conformité, plan de remédiation et attestation de réalisation, en français, prêts à transmettre à votre auditeur.
Recevoir un exemple de rapportEXTRAIT DU RAPPORT D'EXEMPLE
Sommaire des livrables
Résumé exécutif
Synthèse non technique pour la direction : niveau de risque global, impact business, décisions prioritaires.
Matrice de conformité
Chaque constat mappé à votre référentiel, NIS2 art. 21, ISO 27001 A.8, DORA art. 25, statut Couvert / Partiel / N.A. / Écart.
Rapport technique CVSS 3.1
Chaque vulnérabilité documentée avec preuves d'exploitation (captures, requêtes, PoC), scoring CVSS 3.1 et impact métier.
Plan de remédiation priorisé
Actions classées par criticité et effort estimé. Vous savez quoi corriger en premier, et comment.
Attestation de réalisation opposable
Document daté et signé, opposable à vos clients, assureurs, auditeurs et dans vos réponses à appels d'offres.
Re-test après remédiation
Vérification incluse, dans les 3 mois, de la bonne correction des vulnérabilités critiques, attestation mise à jour.
L'automatisation couvre l'énumération, jamais l'exploitation.
[ Preuve de méthode ]
Convention de test et NDA prêtes à signer dès le cadrage, référentiel identifié au premier échange. Le périmètre est figé avant le moindre test.
Les pentesters seniors se consacrent aux attaques manuelles : logique métier, chaînage, contrôle d'accès.
Nos trames de rapport sont pré-mappées sur NIS2, ISO 27001, DORA, HDS, PCI-DSS, RGS et TISAX. La rédaction ne retarde jamais la livraison : chaque constat tombe dans la bonne case.
[ Conformité & preuves ]
Chaque constat est rattaché à l’exigence qui vous concerne. Voici ce que notre rapport vous permet de justifier, référentiel par référentiel.
L’article 21.2 impose la sécurité des réseaux et systèmes (e) et l’évaluation régulière de l’efficacité des mesures (f). Le rapport rattache chaque constat à l’article 21 : la preuve attendue par votre autorité et vos auditeurs.
→ Êtes-vous concerné par NIS2 ?Pour les entités financières : le pentest s’intègre à votre programme de tests de résilience opérationnelle numérique (art. 24-25). Pour les entités désignées, il prépare le terrain des tests TLPT (art. 26).
Le pentest produit la preuve attendue par les contrôles A.8.8 (gestion des vulnérabilités techniques) et A.8.29 (tests de sécurité). Un justificatif pour votre audit, pas un certificat.
Cloisonnement des dossiers patients, accès DPI/LIMS, zéro fuite inter-patients : le rapport documente la protection des données de santé exigée par l’HDS et le RGPD (art. 9 et 32).
Tests d’intrusion interne et externe exigés par l’exigence 11.4, et contrôle des scripts de la page de paiement (6.4.3 et 11.6.1) contre le skimming.
Attestation de réalisation datée et signée, synthèse exécutive et plan de remédiation : les pièces demandées par les questionnaires d’assureurs et les dossiers de réponse aux appels d’offres.
[ Questions fréquentes ]
Le scan de conformité est une évaluation externe en black box : depuis Internet, sans identifiants, sur votre surface exposée. Il produit un rapport de conformité et une attestation, idéal pour prouver vite votre sérieux à un client ou un assureur. Le pentest complet va plus loin : black box sur tout le périmètre, puis grey box authentifié sur les zones sensibles, avec re-test inclus, pour vraiment éprouver votre SI. Le délai de chaque formule est fixé sur devis.
Cela dépend de votre périmètre et de la formule choisie (scan externe & rapport de conformité, ou pentest complet black box + grey box). Le délai est fixé sur devis, après un rendez-vous de cadrage de 30 min, et court à partir de la réception de l'autorisation de test signée. Le planning exact vous est confirmé par écrit.
Non, c'est séquentiel. Nous menons d'abord le black box sur l'ensemble du périmètre, sans identifiants. Ensuite seulement, avec les comptes de test que vous fournissez, nous réalisons le grey box authentifié sur les espaces sensibles sélectionnés (logique métier, droits, élévation de privilèges, cloisonnement entre comptes). Le grey box complète le black box, il ne le remplace pas.
NIS2 n'emploie pas le mot « pentest », mais son article 21.2 impose la sécurité des réseaux et systèmes (e) et l'évaluation régulière de l'efficacité des mesures (f). En pratique, un test d'intrusion documenté est la preuve la plus attendue par les auditeurs et les autorités. Notre rapport rattache chaque constat à l'article 21.
Les questionnaires des assureurs cyber exigent généralement un test d'intrusion de moins de 12 mois. Nos livrables fournissent les justificatifs demandés : attestation de réalisation datée et signée, synthèse exécutive et plan de remédiation. Le rapport se mappe directement sur les rubriques de leur questionnaire, c'est l'un de ses usages les plus fréquents à Besançon.
Non, et méfiez-vous de qui promet le contraire. Un pentest contribue à la conformité : il produit la preuve attendue par les contrôles A.8.8 et A.8.29 d'ISO 27001, ou par l'article 21 de NIS2. Notre attestation de réalisation est un justificatif opposable à votre auditeur, pas un certificat, seul un organisme accrédité (COFRAC) délivre une certification, à l'issue d'un audit complet de votre système de management.
Cela dépend de votre secteur : santé → HDS et RGPD, finance → DORA et PCI-DSS, industrie → NIS2 et IEC 62443, SaaS → ISO 27001 et SOC 2, e-commerce → PCI-DSS et RGPD, public → RGS et NIS2, transport → NIS2 et TISAX. À Besançon, la pression dominante porte sur : ISO 13485, FDA, NIS2, TISAX, RGPD/LPD transfrontalier. Le référentiel exact est identifié dès le cadrage et votre rapport est mappé dessus.
Oui. Le grey box authentifié suppose que vous fournissiez des comptes de test dédiés aux espaces sensibles à éprouver. C'est ce qui nous permet de tester la logique métier, la gestion des droits et le cloisonnement entre comptes. Le scan de conformité, lui, reste 100 % externe et ne demande aucun accès, seulement une autorisation écrite de test. Après le pentest complet, le re-test des vulnérabilités corrigées reste inclus 3 mois, attestation mise à jour.
[ Prendre rendez-vous ]
Choisissez votre créneau de 30 min.
Un échange en visio avec un expert NetMeSafe : votre périmètre à Besançon, le référentiel exigé, la formule adaptée. Délai et devis sous 48 h ensuite.
Chargement des créneaux…
Un rapport de pentest est une photo à l'instant T. Trois mois plus tard, un patch manqué peut tout invalider.
Supervision 24/7, durcissement, patching, sauvegardes testées, EDR, votre infrastructure reste au niveau que le pentest a validé.
→ Infogérance sécurisée à Besançon[ Villes ]
Infogérance sécurisée : Besançon · Dijon · Mulhouse · Annecy
Audit de sécurité globalSimulation phishingBlog cybersécuritéContact
