{"id":3528,"date":"2026-08-31T10:17:32","date_gmt":"2026-08-31T14:17:32","guid":{"rendered":"https:\/\/orendasecurity.com\/?p=3528"},"modified":"2026-08-31T10:19:35","modified_gmt":"2026-08-31T14:19:35","slug":"apres-rapport-test-intrusion","status":"publish","type":"post","link":"https:\/\/orendasecurity.com\/fr\/blog\/apres-rapport-test-intrusion\/","title":{"rendered":"Apr\u00e8s le rapport de test d’intrusion : le guide pratique du praticien pour le triage, la rem\u00e9diation et le retest"},"content":{"rendered":"

TL;DR :<\/strong> Moins de la moiti\u00e9 des constats de tests d’intrusion sont un jour corrig\u00e9s, et m\u00eame les plus critiques restent ouverts plus d’un mois apr\u00e8s l’expiration du SLA. Le rapport n’a jamais \u00e9t\u00e9 le livrable qui comptait. Ce que vous en faites, voil\u00e0 ce qui compte. Ceci est un cadre pratique pour trier les constats, prioriser les correctifs et boucler la boucle avec un v\u00e9ritable retest, et non simplement un autre balayage annuel.<\/p>\n

La plupart des organisations traitent un rapport de test d’intrusion comme la ligne d’arriv\u00e9e. Le PDF arrive, quelques tickets sont cr\u00e9\u00e9s, et l’attention retourne \u00e0 la feuille de route, jusqu’\u00e0 ce que le prochain test annuel r\u00e9v\u00e8le la moiti\u00e9 des m\u00eames constats sous un nouveau CVE.<\/p>\n

Les donn\u00e9es le confirment. Seulement 48 % des vuln\u00e9rabilit\u00e9s identifi\u00e9es sont un jour corrig\u00e9es, et m\u00eame les constats les plus s\u00e9v\u00e8res n’atteignent qu’un taux de correction de 69 %, laissant environ un tiers des risques de premier niveau ouverts, avec un d\u00e9lai m\u00e9dian de r\u00e9solution de 37 jours contre un SLA typique de deux semaines. L’\u00e9cart est le plus marqu\u00e9 pour les constats li\u00e9s \u00e0 l’IA et aux LLM : ils apparaissent \u00e0 un taux plus de 2,5 fois sup\u00e9rieur \u00e0 celui des autres constats, mais ne sont corrig\u00e9s que 38 % du temps, le taux le plus faible de tous les types d’actifs.
\nRien de tout cela n’est un probl\u00e8me de test. C’est un probl\u00e8me de rem\u00e9diation, et c’est un probl\u00e8me qu’on peut r\u00e9soudre avec un processus structur\u00e9 appliqu\u00e9 apr\u00e8s chaque mandat.<\/p>\n

Pourquoi les constats stagnent<\/h2>\n

Avant de corriger le processus, il est utile de nommer o\u00f9 il se brise r\u00e9ellement. En pratique, ce n’est rarement une seule d\u00e9faillance spectaculaire. C’est une poign\u00e9e de petits \u00e9carts qui s’accumulent :<\/p>\n

La d\u00e9duplication n’a jamais lieu<\/h3>\n

Un test d’application Web et un test d’API r\u00e9v\u00e8lent la m\u00eame faille d’autorisation sous-jacente sous deux angles diff\u00e9rents. Sans recoupement, elle appara\u00eet comme deux tickets, est corrig\u00e9e partiellement une fois, puis r\u00e9appara\u00eet au test suivant.<\/p>\n

La responsabilit\u00e9 est ambigu\u00eb<\/h3>\n

Un constat dans une biblioth\u00e8que tierce se situe entre l’\u00e9quipe d’ing\u00e9nierie qui l’a int\u00e9gr\u00e9e et l’\u00e9quipe de s\u00e9curit\u00e9 qui l’a signal\u00e9. Ni l’une ni l’autre ne s’approprie le correctif, donc ni l’une ni l’autre ne le priorise.<\/p>\n

La s\u00e9v\u00e9rit\u00e9 est aplatie<\/h3>\n

Un score CVSS seul ne dit pas \u00e0 un responsable d’ing\u00e9nierie si un constat est r\u00e9ellement atteignable en production, ou th\u00e9orique. Tout ce qui d\u00e9passe \u00ab Moyen \u00bb finit dans le m\u00eame arri\u00e9r\u00e9 indiff\u00e9renci\u00e9.<\/p>\n

Il n’y a pas de boucle de retest<\/h3>\n

Le constat est marqu\u00e9 \u00ab r\u00e9solu \u00bb sur la base d’un changement de code, pas d’un test de v\u00e9rification. Il est mis en production, et le correctif r\u00e9gresse silencieusement six mois plus tard.
\nChacun de ces \u00e9l\u00e9ments est un \u00e9cart de processus, pas un probl\u00e8me technique, ce qui signifie que chacun est solvable sans nouvel outillage.<\/p>\n

Un cadre de triage qui priorise r\u00e9ellement<\/h2>\n

Remplacez la \u00ab s\u00e9v\u00e9rit\u00e9 \u00bb comme seule variable de tri par un prisme en trois volets appliqu\u00e9 \u00e0 chaque constat :<\/p>\n

    \n
  1. Exploitabilit\u00e9.<\/strong> Ce constat est-il atteignable par un attaquant non authentifi\u00e9, ou n\u00e9cessite-t-il un point d’ancrage interne d\u00e9j\u00e0 compromis ? Les constats que votre \u00e9quipe de test d’intrusion a pu r\u00e9ellement encha\u00eener pour obtenir un acc\u00e8s suppl\u00e9mentaire pendant le mandat devraient sauter la file d’attente. C’est un signal qu’aucun score CVSS ne capture enti\u00e8rement.<\/li>\n
  2. Impact commercial.<\/strong> Devant quoi se trouve ce constat ? Un contr\u00f4le d’acc\u00e8s d\u00e9faillant sur un point de terminaison de facturation client n’est pas le m\u00eame risque que la m\u00eame faille sur un outil d’administration interne utilis\u00e9 par trois personnes. Associez les constats aux donn\u00e9es ou au syst\u00e8me qu’ils exposent, pas seulement \u00e0 leur description technique.<\/li>\n
  3. Co\u00fbt du correctif.<\/strong> Certains constats de haute s\u00e9v\u00e9rit\u00e9 repr\u00e9sentent un changement de configuration d’une seule ligne. Certains constats de s\u00e9v\u00e9rit\u00e9 moyenne n\u00e9cessitent une refonte architecturale. S\u00e9quencer d’abord les correctifs rapides \u00e0 fort impact cr\u00e9e un \u00e9lan et r\u00e9duit l’exposition r\u00e9elle plus vite que de travailler strictement selon une liste de s\u00e9v\u00e9rit\u00e9.<\/li>\n<\/ol>\n

    Notez chaque constat selon ces trois dimensions, et vous obtenez un ordre de priorisation qui refl\u00e8te la r\u00e9duction de risque r\u00e9elle par unit\u00e9 d’effort d’ing\u00e9nierie, pas simplement une liste tri\u00e9e selon l’opinion d’un scanneur automatis\u00e9.<\/p>\n

    Boucler la boucle : b\u00e2tir une habitude de retest, pas seulement un \u00e9v\u00e8nement annuel<\/h2>\n

    Un correctif qui n’a pas \u00e9t\u00e9 retest\u00e9 est une hypoth\u00e8se, pas une r\u00e9solution. Les organisations qui referment l’\u00e9cart de rem\u00e9diation traitent le retest comme une partie permanente du mandat, et non comme une d\u00e9cision d’achat distincte prise des mois plus tard :<\/p>\n