Un audit de sécurité vérifie si vos protections sont en place et bien configurées. Un test d’intrusion vérifie si un attaquant peut quand même passer. Pour la plupart des PME, l’ordre logique est l’audit d’abord, puis le test d’intrusion.
Les définitions officielles
- Audit de sécurité. Un examen systématique et documenté de vos configurations, politiques et procédures. Le NIST le décrit comme un examen : revue des politiques, des configurations, des règles et des journaux, et entrevues avec le personnel.
- Scan de vulnérabilités. Des outils automatisés qui cherchent les failles connues. Selon le gouvernement du Canada, ils vérifient seulement la présence possible d’une faille.
- Test d’intrusion. Le gouvernement du Québec le définit comme un test « consistant à simuler une attaque en identifiant des vulnérabilités et en exploitant celles-ci ». Il va plus loin que le scan : il prouve que la faille est exploitable.
- Red Team. Une attaque simulée contre toute l’organisation, qui teste aussi votre capacité à détecter et à réagir.
Audit ou test d’intrusion : les différences
| Critère | Audit de sécurité | Test d’intrusion |
|---|---|---|
| Question posée | Nos protections sont-elles en place et bien réglées? | Un attaquant peut-il entrer malgré tout? |
| Méthode | Revue des configurations, politiques, accès, sauvegardes; entrevues | Attaque simulée par un expert, failles enchaînées |
| Ce qu’on reçoit | Liste d’écarts et plan de correction | Chemins d’attaque prouvés, classés par criticité |
| Pour qui | Direction, gestionnaire TI, assureur | Gestionnaire TI, clients exigeants, assureur |
| Durée (PME) | 1 à 2 jours chez UpSystems | 3 à 5 jours pour un test manuel |
| Prix chez UpSystems | 300 $ à 2 500 $ | Scan 500 $ à 1 500 $, manuel dès 4 000 $ |
Par quoi commencer?
Commencez par l’audit si vous n’avez jamais fait d’évaluation. Un test d’intrusion sur un réseau qui n’a jamais été vérifié trouvera surtout des problèmes qu’un audit aurait trouvés pour beaucoup moins cher.
Passez directement au test d’intrusion dans trois cas :
- Un client ou un donneur d’ordre exige un rapport de test d’intrusion.
- Votre assureur cyber le demande. Les questionnaires d’assurance dépassent souvent 80 questions, dont « faites-vous des tests d’intrusion réguliers? », et une mauvaise réponse peut compliquer une réclamation.
- Vous avez déjà corrigé les écarts d’un audit et voulez vérifier que ça tient.
Ensuite, le gouvernement du Québec et le gouvernement du Canada recommandent tous deux un test d’intrusion par année, et après tout changement important.
Et la Loi 25?
La Loi 25 n’oblige pas à faire un test d’intrusion. Elle exige des mesures de sécurité raisonnables. Dans son guide de janvier 2026, la Commission d’accès à l’information cite les tests d’intrusion et de vulnérabilité comme moyens de vérifier ces mesures, et demande qu’elles soient révisées régulièrement. Un audit ou un test documenté est votre meilleure preuve de diligence.
Pourquoi le risque est réel
En 2023, 16 % des entreprises canadiennes ont subi un incident de cybersécurité, et les coûts de rétablissement ont doublé depuis 2021 pour atteindre environ 1,2 milliard $ (Statistique Canada). Seulement 22 % des entreprises avaient une assurance cyber. Le Centre canadien pour la cybersécurité qualifie le rançongiciel de cybermenace la plus percutante pour le Canada.
L’avantage UpSystems : l’audit et le test, avec la même équipe
- Un parcours clair. L’audit (1 à 2 jours, 300 $ à 2 500 $) montre quoi corriger. Le test d’intrusion confirme que c’est corrigé. La même équipe fait les deux, donc rien à réexpliquer.
- Des prix publiés. Vous connaissez la fourchette avant d’appeler, ce qui est rare dans le marché.
- Un rapport en français, prêt pour la Loi 25. Utilisable avec votre assureur et vos clients.
- Des clients qui témoignent. GA International et Artik nous ont confié leur évaluation de sécurité.
On vous dit quoi faire en premier. Réservez un appel de 30 minutes: on vous dira si un audit suffit ou s’il vous faut un test d’intrusion.
Questions fréquentes
Quelle est la différence entre un audit de sécurité et un test d’intrusion?
L’audit vérifie vos protections et leur configuration. Le test d’intrusion simule une vraie attaque pour prouver ce qu’un pirate peut atteindre.
Combien coûte un audit de cybersécurité pour une PME?
Les prix publiés au Québec varient de moins de 1 000 $ à 10 000 $ selon la profondeur. Chez UpSystems, de 300 $ à 2 500 $.
La Loi 25 oblige-t-elle à faire un test d’intrusion?
Non. Elle exige des mesures de sécurité raisonnables; la CAI cite le test d’intrusion comme un moyen de les vérifier.
Réussir un audit veut-il dire que je suis en sécurité?
Non. L’audit confirme que les protections existent; seul un test d’intrusion confirme qu’elles résistent.
À quelle fréquence faire un test d’intrusion?
Une fois par an et après tout changement important, selon les recommandations des gouvernements du Québec et du Canada.