Red Team

Le test d’intrusion (pentest) cherche le maximum de vulnérabilités dans un périmètre annoncé, et vos équipes savent qu’il a lieu. La Red Team poursuit un objectif, emprunte n’importe quel chemin et reste discrète : elle mesure votre détection, pas votre surface d’attaque. Les deux sont complémentaires, mais dans cet ordre — une Red Team menée sur un socle jamais testé coûte cher pour un résultat prévisible.

Le prix suit le périmètre et le nombre de scénarios. Une opération démarre autour de 5 000 € HT pour la formule Mini et atteint plusieurs dizaines de milliers d’euros pour une organisation étendue. Nos fourchettes sont publiques et le devis est détaillé en jours-homme, ligne par ligne : vous voyez ce que vous payez.

Ce qui fait monter le budget : le nombre de vecteurs à couvrir, la taille du parc, l’exigence de discrétion face à un SOC mature, et la durée pendant laquelle il faut rester présent sans être détecté. Voir aussi notre article sur le prix d’un test d’intrusion.

Comptez 10 à 30 jours-homme pour une opération complète, étalés sur trois à six semaines calendaires. La durée calendaire dépasse volontairement le volume facturé : la discrétion impose d’espacer les actions. Une formule Mini ou un scénario Assumed Breach resserré se conduit en une à deux semaines. Le calendrier est arrêté dans la note de cadrage, avant le démarrage.

La règle pratique tient en trois lignes. Première opération, capacité de détection encore jeune : commencez en boîte grise (Assumed Breach), tout le budget passe alors dans la latéralisation. SOC mature que vous voulez réellement évaluer : prenez la boîte noire. Objectif d’amélioration rapide des règles de détection : faites du Purple Team, en boîte blanche, avec vos analystes dans la boucle.

Oui, et sans surcoût. Vous corrigez, puis nous rejouons les chemins d’attaque pour vérifier que la brèche est réellement refermée et non simplement déplacée. Le contre-audit est compris dans le prix de l’opération, dans les 90 jours suivant la restitution. C’est rare sur ce marché : il y est le plus souvent facturé comme une journée supplémentaire.

Pour une entreprise privée qui fait tester son propre système d’information, non : aucune qualification d’État n’est exigée. Ce qui est exigé, c’est un mandat écrit et un périmètre défini contractuellement (articles 323-1 et suivants du code pénal).

Certains marchés publics posent, eux, leurs propres exigences, et les contrôles des systèmes d’information d’importance vitale ordonnés au titre de l’article L. 1332-6-3 du code de la défense sont réalisés par l’ANSSI, par des services de l’État désignés par le Premier ministre ou par des prestataires de service qualifiés. Haxoris n’en détient aucune et ne soumissionne pas sur ces prestations. Nous vous le disons avant le devis.

Pour un acheteur privé, les critères qui comptent sont ailleurs : la méthodologie annoncée, les certifications individuelles des consultants affectés, un exemple de rapport communiqué avant signature, l’assurance responsabilité civile professionnelle et le traitement des données collectées.

La directive (UE) 2022/2555 (NIS 2) n’impose ni test d’intrusion ni Red Team. Son article 21 demande des mesures techniques et organisationnelles appropriées et proportionnées, et range parmi elles les politiques d’évaluation de l’efficacité de ces mesures. Une opération Red Team est le moyen le plus direct de démontrer que vos mesures fonctionnent en conditions réelles plutôt que sur le papier.

Le RGPD est plus explicite encore : son article 32.1.d prévoit une procédure visant à tester, analyser et évaluer régulièrement l’efficacité des mesures techniques et organisationnelles.

État au 11 septembre 2026 : la directive NIS 2 n’est pas encore transposée en droit français ; le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est en cours d’examen parlementaire. Nous traitons donc le sujet comme une préparation, non comme une mise en conformité obligatoire. Voir notre page NIS 2. Dernière vérification : 11 septembre 2026.

Pas par défaut en France. Une intrusion dans vos locaux, un test de badge ou un contournement d’accueil soulèvent des questions de droit — notamment l’article 226-4 du code pénal et le régime applicable aux activités privées de sécurité — que nous ne traitons pas dans un devis standard.

Si le scénario vous intéresse, il est instruit au cas par cas avec votre direction juridique et fait l’objet d’un accord écrit distinct précisant les sites concernés, les horaires, les personnes habilitées à autoriser la présence de nos consultants et la procédure à suivre en cas d’interpellation. Sans cet accord, aucun scénario physique n’est exécuté. Les vecteurs numériques et humains, eux, sont disponibles sans réserve.

Non : ne pas prévenir vos analystes est ce qui rend la mesure valable. Deux ou trois personnes sont dans la confidence — le RSSI et un membre de la direction — et servent de point de contact.

La production est protégée par les règles d’engagement fixées au cadrage : systèmes exclus, actions proscrites (déni de service, modification ou chiffrement de données réelles), plages horaires sensibles. Un canal d’arrêt immédiat, avec un mot convenu, reste ouvert du début à la fin.

Oui, à une condition : que les bases soient en place. Un attaquant ne choisit pas ses cibles à la taille, et une PME qui héberge des données sensibles ou qui fournit un grand compte est visée comme les autres. La formule Mini est conçue pour cela : périmètre resserré, quelques scénarios ciblés, budget contenu.

En revanche, si vos applications et votre infrastructure n’ont jamais été examinées, un test d’intrusion ou un audit de vulnérabilités vous apportera davantage, pour moins cher. Nous vous le dirons au cadrage plutôt que de vous vendre l’opération la plus chère.