Au Québec, un test d’intrusion coûte généralement entre 3 000 $ et 25 000 $, selon le périmètre. Un scan de vulnérabilités automatisé coûte beaucoup moins, entre 500 $ et 2 000 $, mais ce n’est pas un vrai test d’intrusion.
Chez UpSystems, nous affichons nos prix :
| Service | Prix | Ce que vous obtenez | Pour qui |
|---|---|---|---|
| Scan de vulnérabilités automatisé (externe) | 500 $ à 1 500 $ | Outils automatisés, liste des failles connues classées par criticité, recommandations. Aucune exploitation. | PME qui veut une première photo de son exposition, ou un contrôle entre deux tests |
| Test d’intrusion manuel | à partir de 4 000 $ | Un expert tente réellement d’entrer dans votre réseau, interne et externe, et reproduit les chemins d’attaque. Rapport détaillé et débriefing. | PME qui doit prouver sa sécurité à un client, un assureur ou pour la Loi 25 |
| Exercice Red Team | à partir de 12 000 $ | Une attaque simulée plus longue et plus poussée, qui teste aussi votre capacité à détecter l’intrus et à réagir. | Entreprise qui a déjà fait un test d’intrusion et veut vérifier sa détection |
Pour une PME d’un seul site, un test manuel interne et externe prend environ 4 jours et coûte environ 4 000 $ à 4 500 $. Le prix exact dépend du nombre d’adresses IP, de sites et de la profondeur du test.
Automatisé ou manuel : la vraie différence
Un scan automatisé compare vos systèmes à une liste de failles connues. Il vous dit qu’une porte est peut-être mal verrouillée.
Un test d’intrusion manuel envoie quelqu’un essayer de l’ouvrir. L’expert enchaîne plusieurs petites failles pour atteindre vos données, comme le ferait un vrai attaquant. C’est ce chaînage qu’aucun outil automatique ne fait.
| Critère | Scan automatisé | Test d’intrusion manuel |
|---|---|---|
| Qui fait le travail | Un logiciel | Un expert en cybersécurité |
| Exploitation réelle des failles | Non | Oui |
| Faux positifs | Fréquents | Validés un par un |
| Failles de logique et de configuration | Rarement détectées | Recherchées activement |
| Accepté comme preuve par un client ou un assureur | Rarement | Oui |
| Durée | Quelques heures | 3 à 5 jours pour une PME |
Ce que facture le marché québécois
Les firmes qui publient leurs prix au Québec et au Canada se situent dans ces fourchettes, en dollars canadiens :
| Type de test | Fourchette publiée | Source |
|---|---|---|
| Scan de vulnérabilités | 500 $ à 2 000 $ | Sequr (Québec) |
| Test externe, PME | 3 000 $ à 8 000 $ | Sequr (Québec) |
| Test externe, PME | 5 000 $ à 12 000 $ | IT Sincennes (Gatineau) |
| Test interne | 5 000 $ à 15 000 $ | Sequr (Québec) |
| Test interne + externe complet | 12 000 $ à 25 000 $ | Sherlock Forensics |
| Test réseau, PME canadienne | 8 000 $ à 25 000 $ | Fusion Computing |
| Red Team | 15 000 $ à 100 000 $ et plus | Sequr (Québec) |
Ces firmes s’entendent sur un point : un « test d’intrusion » vendu sous 1 500 $ à 3 000 $ est presque toujours un scan automatisé présenté dans un beau rapport. Ce n’est pas un mauvais produit, mais ce n’est pas le même produit.
Le lieu change peu le prix : un test d’intrusion se fait en grande partie à distance. Au Québec, le coût supplémentaire vient surtout du rapport en français et de la documentation liée à la Loi 25.
Ce qui fait varier le prix
- Le périmètre. Le nombre d’adresses IP publiques, de sites, de serveurs et d’applications à tester. C’est le premier facteur.
- Interne, externe ou les deux. Un test externe regarde ce qu’un attaquant voit depuis Internet. Un test interne simule un employé piégé ou un poste compromis. Faire les deux coûte environ deux fois plus que l’externe seul.
- Le niveau d’information fourni. Sans aucune information (boîte noire), le testeur passe plus de temps en reconnaissance. Avec des accès fournis (boîte grise), il va plus loin pour le même budget.
- Les applications web. Un portail client ou une application maison demande des jours de test en plus.
- Le retest. Vérifier que les failles ont été corrigées est parfois inclus, parfois facturé à part. Demandez-le par écrit.
- Les exigences de conformité. Un rapport destiné à un assureur, à un client exigeant ou à la Loi 25 demande plus de documentation.
Comment reconnaître un faux test d’intrusion dans une soumission
Posez ces cinq questions au fournisseur. Un vrai test d’intrusion répond oui à chacune.
- Combien d’heures de travail manuel sont prévues, et par qui?
- Le testeur va-t-il exploiter les failles trouvées, ou seulement les lister?
- Le rapport montre-t-il les chemins d’attaque reproduits, avec preuves?
- Y a-t-il un débriefing avec la personne qui a fait le test?
- Le retest des failles corrigées est-il inclus?
Si la soumission ne mentionne qu’un nom d’outil (Nessus, Qualys, OpenVAS) et un rapport PDF, vous achetez un scan. C’est utile, mais payez le prix d’un scan.
Pourquoi un test manuel coûte moins cher chez UpSystems
Notre test d’intrusion manuel commence à 4 000 $, sous la moyenne du marché. Ce n’est pas un scan déguisé : un expert exploite réellement les failles, interne et externe, et vous présente les résultats en personne.
Le prix s’explique par notre structure. UpSystems est une entreprise de services TI de Laval, pas une grande firme de conseil : pas de frais de bureau au centre-ville ni de couches de gestion. Nos experts sont ici, au Québec, et le rapport est rédigé en français, prêt pour la Loi 25.
Exemple : pour un manufacturier québécois de portes et fenêtres, nous avons réalisé un test interne et externe de 4 jours. Le client a corrigé les chemins d’attaque trouvés avant qu’un vrai attaquant ne les exploite.
Vous voulez savoir où vous vous situez? Réservez un appel de 30 minutes avec un expert. Nous vous dirons si un scan suffit ou s’il vous faut un vrai test, et nous vous donnerons un prix ferme. En savoir plus sur notre service de test d’intrusion.
Questions fréquentes
Combien coûte un test d’intrusion pour une PME au Québec?
Entre 3 000 $ et 25 000 $ selon le périmètre. Chez UpSystems, un scan automatisé coûte de 500 $ à 1 500 $, un test manuel interne et externe commence à 4 000 $ pour une PME d’un seul site, et un exercice Red Team commence à 12 000 $.
Un scan de vulnérabilités est-il un test d’intrusion?
Non. Un scan liste les failles connues de façon automatisée. Un test d’intrusion exploite réellement ces failles avec un expert, pour montrer ce qu’un attaquant pourrait atteindre.
Combien de temps dure un test d’intrusion?
Pour une PME, de 3 à 5 jours de test, puis quelques jours pour le rapport et le débriefing.
À quelle fréquence faire un test d’intrusion?
Au moins une fois par an, et après tout changement important : nouveau serveur, déménagement, nouvelle application exposée sur Internet.
Un test d’intrusion aide-t-il pour la Loi 25?
Oui. La Loi 25 exige des mesures de sécurité raisonnables pour protéger les renseignements personnels. Un rapport de test d’intrusion documente que vous les avez vérifiées.
Faut-il arrêter nos opérations pendant le test?
Non. Le test est planifié avec vous et les actions risquées sont convenues d’avance.