Pentest Nantes : la preuve,ou l'épreuve.Un scan externe pour prouver votre conformité, ou un pentest complet black box + grey box pour éprouver vraiment votre SI. On vous oriente en 30 min.

Le scan de conformité est une évaluation externe en black box : depuis Internet, sans identifiants, sur votre surface exposée. Il produit un rapport de conformité et une attestation en environ 1 semaine, idéal pour prouver vite votre sérieux à un client ou un assureur. Le pentest complet va plus loin : black box sur tout le périmètre, puis grey box authentifié sur les zones sensibles, avec re-test inclus, en environ 2 semaines, pour vraiment éprouver votre SI.

Comptez environ 1 semaine pour le scan externe & rapport de conformité, et environ 2 semaines pour le pentest complet black box + grey box, dans les deux cas après réception de l'autorisation de test signée. Ces durées valent pour un périmètre type (infrastructure exposée + application). Le planning exact vous est confirmé par écrit au cadrage.

Non, c'est séquentiel. Nous menons d'abord le black box sur l'ensemble du périmètre, sans identifiants. Ensuite seulement, avec les comptes de test que vous fournissez, nous réalisons le grey box authentifié sur les espaces sensibles sélectionnés (logique métier, droits, élévation de privilèges, cloisonnement entre comptes). Le grey box complète le black box, il ne le remplace pas.

NIS2 n'emploie pas le mot « pentest », mais son article 21.2 impose la sécurité des réseaux et systèmes (e) et l'évaluation régulière de l'efficacité des mesures (f). En pratique, un test d'intrusion documenté est la preuve la plus attendue par les auditeurs et les autorités. Notre rapport rattache chaque constat à l'article 21.

Les questionnaires des assureurs cyber exigent généralement un test d'intrusion de moins de 12 mois. Nos livrables fournissent les justificatifs demandés : attestation de réalisation datée et signée, synthèse exécutive et plan de remédiation. Le rapport se mappe directement sur les rubriques de leur questionnaire, c'est l'un de ses usages les plus fréquents à Nantes.

Non, et méfiez-vous de qui promet le contraire. Un pentest contribue à la conformité : il produit la preuve attendue par les contrôles A.8.8 et A.8.29 d'ISO 27001, ou par l'article 21 de NIS2. Notre attestation de réalisation est un justificatif opposable à votre auditeur, pas un certificat, seul un organisme accrédité (COFRAC) délivre une certification, à l'issue d'un audit complet de votre système de management.

Cela dépend de votre secteur : santé → HDS et RGPD, finance → DORA et PCI-DSS, industrie → NIS2 et IEC 62443, SaaS → ISO 27001 et SOC 2, e-commerce → PCI-DSS et RGPD, public → RGS et NIS2, transport → NIS2 et TISAX. À Nantes, la pression dominante porte sur : BITD (naval, défense), NIS2 (agroalimentaire, numérique), FSMA / paquet Hygiène pour l'agro. Le référentiel exact est identifié dès le cadrage et votre rapport est mappé dessus.

Oui. Le grey box authentifié suppose que vous fournissiez des comptes de test dédiés aux espaces sensibles à éprouver. C'est ce qui nous permet de tester la logique métier, la gestion des droits et le cloisonnement entre comptes. Le scan de conformité, lui, reste 100 % externe et ne demande aucun accès, seulement une autorisation écrite de test. Après le pentest complet, le re-test des vulnérabilités corrigées reste inclus 3 mois, attestation mise à jour.