ISO/IEC 27001
ISO 27001
Tests d’intrusion et accompagnement à la certification, pour le volet technique de votre SMSI (système de management de la sécurité de l’information). La norme n’emploie nulle part les mots « test d’intrusion ». En revanche, la mesure A.8.8 de l’Annexe A impose de gérer les vulnérabilités techniques et la mesure A.8.29 impose des tests de sécurité durant le développement et l’acceptation. En audit, ces deux mesures se lisent de la même façon : l’auditeur attend un test indépendant, et des preuves.
Nous produisons les pièces qu’un audit de certification ou de surveillance demande à voir — rapport de tests, plan de remédiation, attestation de contre-audit — rédigées en français, dans une forme que votre auditeur verse au dossier sans retraitement.
À clarifier d’emblée : Haxoris ne délivre pas de certificat. Un certificat ISO/IEC 27001 est émis par un organisme de certification accrédité selon l’ISO/IEC 17021-1 — en France sous accréditation du COFRAC — et les règles d’impartialité interdisent de certifier une entité que l’on a conseillée. Notre intervention se situe en amont : accompagnement et préparation à la certification, audit interne ISO 27001, audit à blanc et tests d’intrusion, sur mandat écrit et dans un périmètre défini contractuellement.
Ils nous font confiance
Objectifs
Objectifs : ce qu’un test d’intrusion apporte à votre SMSI
Première certification, audit de surveillance annuel, recertification, ou simple questionnaire sécurité envoyé par un grand compte : ce sont les mêmes mesures de l’Annexe A qui reviennent à chaque fois. Un test d’intrusion est la preuve la plus directe que vous puissiez produire pour chacune d’elles, parce qu’il démontre un fonctionnement réel là où une procédure ne démontre qu’une intention.
Une mission ISO 27001 poursuit quatre objectifs : établir l’exposition technique réelle du périmètre couvert par votre déclaration d’applicabilité ; produire des preuves opposables — requêtes, captures, étapes de reproduction — plutôt que des scores repris d’un outil ; alimenter votre processus d’actions correctives avec un plan de remédiation priorisé et daté ; puis démontrer, par le contre-audit, que les correctifs sont en place.
Haxoris est lui-même certifié ISO/IEC 27001 par TÜV SÜD. Appliquer la norme et tester contre la norme sont deux exercices distincts ; nous faisons les deux. Le dossier de preuves que nous vous remettons a donc la même forme que celui que nous présentons à nos propres auditeurs.
Mesure de l’Annexe A → ce que nous livrons
| Mesure | Ce que livre Haxoris |
|---|---|
| A.8.8 — Gestion des vulnérabilités techniques | Identification, validation manuelle et priorisation des vulnérabilités réellement présentes sur votre périmètre. La criticité et l’exploitabilité sont démontrées par une preuve d’exploitation, non reprises du score d’un scanner. C’est la mesure sur laquelle se concentre la majorité des écarts relevés en audit. |
| A.8.29 — Tests de sécurité durant le développement et l’acceptation | Tests d’applications et d’API conduits selon l’OWASP WSTG et vérifiés contre l’OWASP ASVS, planifiés pour s’insérer dans votre cycle de livraison plutôt que pour le bloquer. Pour les applications mobiles, nous appliquons l’OWASP MASTG. |
| A.8.25 / A.8.28 — Cycle de développement sécurisé et codage sécurisé | Chaque constat est rattaché au motif de conception ou de code qui l’a produit. La correction supprime alors une classe de défauts et non une occurrence isolée — ce qu’un auditeur lit comme une action corrective, et non comme un simple correctif. |
| A.8.9 — Gestion des configurations | Revue des configurations de serveurs, d’équipements réseau et de services cloud par rapport à un référentiel de durcissement, avec les écarts documentés et hiérarchisés. |
| A.5.7 — Renseignement sur les menaces | Des tests appuyés sur les techniques d’attaque effectivement observées contre votre secteur, et non sur une liste générique de contrôles. |
| Chapitres 9.1 et 9.2 — Surveillance, mesure et audit interne | Une mesure indépendante de l’efficacité de vos mesures de sécurité, que votre programme d’audit interne peut citer directement comme source externe. |
Périmètre
Types de tests et périmètre couvert
Le périmètre d’une mission ISO 27001 se déduit de votre déclaration d’applicabilité et du périmètre de certification, pas d’un catalogue. Voici ceux que nous testons le plus souvent dans ce cadre.
Applications web et API
Applications métier, portails clients, back-offices et API exposées, testés selon l’OWASP WSTG et vérifiés contre l’OWASP ASVS. C’est le périmètre le plus fréquemment rattaché à la mesure A.8.29.
Infrastructure interne et Active Directory
Depuis un poste du réseau interne : élévation de privilèges, latéralisation, cloisonnement. Ce périmètre répond à la question qu’un auditeur finit toujours par poser — que se passe-t-il après la compromission d’un seul poste ?
Périmètre externe exposé
Cartographie de votre surface d’exposition sur Internet, services oubliés, environnements de recette accessibles. L’écart classique en audit : des actifs absents de l’inventaire du SMSI.
Environnements cloud
Configurations AWS, Azure et Google Cloud, gestion des identités et des droits, cloisonnement des environnements. Les erreurs de configuration relèvent directement des mesures A.8.9 et A.5.23.
Applications mobiles
Applications iOS et Android et les API qui les servent, selon l’OWASP MASTG : stockage local, communications, durcissement du binaire, authentification.
Ingénierie sociale et phishing
Campagnes de phishing (hameçonnage) et scénarios d’ingénierie sociale, en résultats agrégés et jamais nominatifs. La preuve la plus lisible de l’efficacité réelle de la mesure A.6.3, sensibilisation.
Audit à blanc et audit interne ISO 27001
Revue documentaire et entretiens avant l’audit de certification : écarts par rapport aux exigences, état d’avancement des mesures retenues, plan d’action daté. C’est l’exercice qui évite une non-conformité majeure à l’étape 2.
Approches : boîte noire, boîte grise et boîte blanche
L’approche décrit ce que nos consultants savent avant de commencer. Elle ne change pas la rigueur du test, mais la profondeur que vous obtenez pour un même nombre de jours-homme. Dans un contexte ISO 27001, elle change aussi la nature de la preuve que vous pourrez verser au dossier.
Boîte noire (black box)
Aucune information préalable : nous partons d’un nom de domaine ou d’une plage d’adresses IP, comme un attaquant qui ne vous connaît pas. L’approche répond à la question « de quoi ai-je l’air vu d’Internet ? » et fait apparaître les actifs oubliés — un écart fréquent sur la mesure A.5.9, inventaire des informations et des autres actifs associés. Sa limite est mécanique, et un auditeur la connaît : ce qui n’a pas été découvert n’a pas été testé.
Boîte grise (grey box)
Un compte par rôle applicatif et une documentation fonctionnelle sommaire. C’est l’approche que nous recommandons dans la grande majorité des missions ISO 27001. Elle reproduit le scénario le plus fréquent — un attaquant qui dispose déjà d’un compte, obtenu par phishing ou par réutilisation de mot de passe — et elle garantit qu’aucun rôle n’a été laissé de côté faute de temps. C’est précisément la couverture démontrable qu’attend la mesure A.8.29.
Boîte blanche (white box)
Comptes, documentation d’architecture et accès au code source. Nous remontons d’un symptôme à sa cause dans le code, atteignons des chemins difficiles à déclencher depuis l’extérieur et examinons la logique métier. C’est l’approche à retenir pour une application critique du périmètre de certification, et la seule qui alimente sérieusement les mesures A.8.25 et A.8.28.
Les trois se combinent dans une même mission : boîte noire sur le périmètre externe pour mesurer l’exposition, puis boîte grise sur les applications du périmètre certifié une fois la cartographie établie. L’approche retenue, le périmètre et le nombre de jours-homme figurent dans le devis et dans la note de cadrage — deux documents que votre auditeur peut demander à consulter.
Notre méthodologie et le déroulement d’une mission
Nous travaillons sur des référentiels publics, pour que la couverture de la mission soit vérifiable par un tiers plutôt que promise : OWASP WSTG pour le web, OWASP ASVS comme grille de vérification, OWASP MASTG pour le mobile et le PTES pour la conduite d’ensemble. L’outillage automatisé sert au repérage et ne représente qu’une fraction du temps passé ; la validation, l’exploitation et la rédaction restent manuelles. C’est la seule façon d’écarter les faux positifs qu’un auditeur vous reprocherait de lui avoir soumis.
Cadrage et note de cadrage
Un échange de 30 à 45 minutes pour délimiter les cibles à partir de votre déclaration d’applicabilité et de votre périmètre de certification. Il en sort une note de cadrage écrite : cibles, approche retenue, comptes à fournir, fenêtre d’intervention, contacts d’escalade, jours-homme et prix ferme en € HT.
Autorisation écrite et règles d’engagement
Aucun test ne commence sans mandat écrit et sans périmètre défini contractuellement (articles 323-1 et suivants du code pénal). Les règles d’engagement fixent les horaires, les actions exclues, le traitement des données rencontrées et la conduite à tenir si une vulnérabilité critique apparaît en cours de mission.
Reconnaissance et cartographie
Inventaire de la surface exposée, des technologies, des points d’entrée et des rôles applicatifs. Cette étape produit souvent son propre constat, et l’un des plus utiles en audit : des actifs qui ne figurent dans aucun inventaire du SMSI.
Tests manuels et exploitation
Le cœur de la mission. Nous parcourons les chapitres du WSTG applicables, vérifions les exigences ASVS du niveau retenu et exploitons les vulnérabilités pour établir leur impact réel. Chaque constat est documenté au moment où il est obtenu : requête, capture, étapes de reproduction.
Rapport et restitution
Le rapport est remis en français sous 5 à 10 jours ouvrés, puis restitué en visioconférence en deux temps : une synthèse managériale pour la direction et le responsable du SMSI, une séance technique avec vos équipes. La restitution est comprise dans le prix.
Contre-audit
Une fois vos correctifs déployés, nous testons à nouveau les constats concernés. Le contre-audit est inclus dans le prix, sans surcoût, dans les 90 jours suivant la remise du rapport, et donne lieu à une attestation écrite. Dans un dossier ISO 27001, c’est elle qui clôt une non-conformité.
Certification initiale, audit de surveillance et recertification
| Étape | Ce que l’auditeur attend généralement | Notre intervention |
|---|---|---|
| Certification initiale (étapes 1 et 2) | La preuve que la gestion des vulnérabilités techniques fonctionne, et pas seulement qu’elle est écrite | Un test d’intrusion sur l’ensemble du périmètre de certification, assorti du suivi de remédiation, programmé quelques semaines avant l’étape 2. |
| Audit de surveillance annuel | La preuve que les tests se sont poursuivis et que les constats précédents sont clos | Une mission annuelle et son contre-audit, présentés en comparaison directe avec l’engagement précédent. |
| Recertification (cycle de trois ans) | Une tendance d’amélioration démontrable sur l’ensemble du cycle | Les données de constats d’une année sur l’autre : ce qui a changé, ce qui est resté corrigé, ce qui réapparaît. |
Les organismes de certification n’attendent pas tous la même chose. Si votre auditeur a formulé des attentes précises par écrit, transmettez-les-nous : nous cadrons la mission pour y répondre point par point.
Livrables
Livrables, restitution et contre-audit
Un auditeur ne cherche pas un PDF, il cherche une chaîne de preuve qui se referme. Chaque mission ISO 27001 comprend les éléments suivants, sans option ni supplément.
Rapport en français avec synthèse managériale
Une synthèse destinée à la direction et au responsable du SMSI, puis le détail technique : criticité, impact métier, étapes de reproduction et preuve pour chaque constat.
Constats rattachés aux mesures de l’Annexe A
Chaque constat indique les mesures qu’il concerne, pour que le responsable du SMSI classe le rapport au bon endroit sans avoir à le relire ligne à ligne.
Plan de remédiation priorisé
Une correction, un responsable et une échéance par constat — le format qu’attend votre processus d’actions correctives, et celui que votre auditeur vous demandera de produire.
Contre-audit inclus, sans surcoût
Nous vérifions les correctifs dans les 90 jours suivant la remise du rapport. Le contre-audit est compris dans le prix annoncé, sans jour supplémentaire facturé.
Attestation écrite de contre-audit
Un document daté indiquant ce qui a été corrigé et ce qui reste ouvert : la pièce qui permet de clore une non-conformité dans votre dossier.
Restitution en visioconférence
Une séance de direction et une séance technique avec vos équipes. La restitution est comprise dans le prix et se tient à distance.
Pourquoi Haxoris
Six engagements vérifiables avant la commande, plutôt que des promesses à vérifier après.
Certifications de notre équipe
Contre-audit inclus, sans surcoût
La vérification des correctifs après remédiation est comprise dans le prix, dans les 90 jours suivant la remise du rapport, et donne lieu à une attestation écrite. C’est ce document que votre auditeur verse au dossier pour clore l’écart.
Nos tarifs sont publics
Le nombre de jours-homme et le prix en € HT sont annoncés avant la commande et ne bougent pas après. Vous budgétez votre programme de certification sans avoir à collecter trois devis pour découvrir un ordre de grandeur.
Vous savez qui teste
Les consultants affectés à votre mission sont nommés, avec leurs certifications individuelles (OSCP, OSWE, CISSP) et leur ancienneté. Vous leur parlez directement pendant la mission, pas à un gestionnaire de compte.
Nous appliquons la norme que nous testons
Haxoris est certifié ISO/IEC 27001 par TÜV SÜD. Le dossier de preuves que nous vous remettons est construit comme celui que nous présentons à nos propres auditeurs, et nous vous communiquons les références de notre certificat sur demande.
Indépendance préservée
Nous testons et nous conseillons sur la remédiation, mais nous ne vendons pas les correctifs que nous recommandons. Faire tester et faire corriger par le même prestataire retire l’indépendance que recherche précisément un auditeur, et affaiblit la valeur probante du rapport.
Prestataire européen, données dans l’Union
Haxoris est une société établie dans l’Union européenne. Les preuves collectées et les rapports restent dans l’UE, le RGPD s’applique directement, les sous-traitants sont nommés au contrat et les données de mission sont supprimées à l’échéance convenue.
Témoignages clients
Ce que nos clients disent de nous
Foire aux questions
01 ISO 27001 impose-t-elle un test d’intrusion ?
Pas dans ces termes. La mesure A.8.8 de l’Annexe A impose une gestion des vulnérabilités techniques et la mesure A.8.29 impose des tests de sécurité durant le développement et l’acceptation. En pratique, les auditeurs retiennent le test d’intrusion indépendant comme la preuve la plus solide pour l’une comme pour l’autre, et beaucoup d’organismes de certification s’attendent à en trouver un au dossier. Le RGPD pointe dans la même direction : l’article 32.1.d mentionne « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles ».
02 Combien coûte un test d’intrusion ISO 27001 ?
Le prix dépend du périmètre. Le test d’une application web isolée démarre autour de 2 000 € HT ; un périmètre de SMSI couvrant plusieurs applications, une infrastructure interne et un environnement cloud coûte davantage. Nous facturons en jours-homme, nous annonçons un prix ferme après le cadrage et le contre-audit n’est jamais facturé. Nos tarifs sont publics : vous calibrez votre budget avant de nous contacter.
03 Combien de jours-homme faut-il prévoir ?
Une mission ISO 27001 courante représente 5 à 15 jours-homme. Une application web de complexité moyenne avec son API occupe 5 à 8 jours ; un périmètre interne Active Directory, 5 à 10 jours ; un périmètre de certification complet réunissant plusieurs applications, une infrastructure et un tenant cloud dépasse souvent 15 jours. Comptez 1 à 2 jours supplémentaires pour le rapport et la restitution ; le contre-audit n’entre pas dans le décompte facturé.
04 Boîte noire ou boîte grise pour un audit de certification ?
Boîte grise dans la très grande majorité des cas. Un auditeur cherche une couverture démontrable : avec un compte par rôle applicatif, nous garantissons qu’aucun rôle n’a été écarté faute de temps, et nous l’écrivons dans le rapport. La boîte noire garde son intérêt sur le périmètre externe, pour mesurer ce qu’un attaquant voit de vous. Beaucoup de missions combinent les deux ; l’arbitrage se fait au cadrage et figure dans le devis.
05 Le contre-audit est-il inclus ?
Oui, dans le prix et sans surcoût, dans les 90 jours suivant la remise du rapport. Nous testons à nouveau les constats que vous déclarez corrigés et nous remettons une attestation écrite indiquant ce qui est résolu et ce qui reste ouvert. Dans un dossier ISO 27001, c’est ce document — et non le rapport initial — qui permet de clore une non-conformité.
06 Faut-il un prestataire qualifié pour un test d’intrusion ISO 27001 ?
ISO/IEC 27001 n’exige aucune qualification délivrée par une autorité publique pour le prestataire qui réalise les tests. La norme demande une compétence démontrable et une indépendance vis-à-vis des équipes auditées. Nous ne revendiquons aucune qualification d’État, en France ou ailleurs. Nous mettons à votre disposition, avant la commande, la méthodologie appliquée, les certifications individuelles de chaque consultant affecté, un exemple de rapport complet et les références de notre certificat ISO/IEC 27001 délivré par TÜV SÜD. Si votre marché impose contractuellement une qualification que nous ne détenons pas, nous vous le disons avant le devis plutôt qu’après.
07 Nos tests ISO 27001 servent-ils aussi pour NIS 2 ?
En grande partie. Les mesures techniques attendues se recoupent largement : la directive (UE) 2022/2555 (NIS 2) cite les politiques d’analyse des risques, la gestion des vulnérabilités et l’évaluation de l’efficacité des mesures. Un test d’intrusion documenté, son plan de remédiation et son contre-audit alimentent les deux dossiers sans travail supplémentaire. Le détail de l’articulation est traité sur notre page NIS 2.
Dernière vérification : 11 septembre 2026.
