Pentester (Cybersécurité offensive)

Le pentester, ou pentesteur, est un spécialiste de la cybersécurité offensive qui recherche et exploite des vulnérabilités dans un périmètre autorisé. Ses tests d’intrusion aident l’entreprise à comprendre les risques auxquels ses systèmes sont exposés et les corrections à envisager. Son travail comprend les investigations techniques et l’explication de leurs résultats aux personnes chargées de décider ou d’agir.

Le champ confié peut couvrir des systèmes, des réseaux et des applications web ou mobiles. Il doit être défini avant les essais : environnements concernés, objectifs, contraintes et livrables attendus. La capacité à intervenir sur l’un de ces domaines ne suffit pas à établir une expertise sur tous les autres.

L’autorisation de tester fixe les limites de l’intervention. Lorsqu’un composant découvert sort de ce cadre, le pentester explique son importance au responsable du risque. Le responsable du risque peut décider d’étendre le test ou de maintenir le périmètre initial. Dans ce dernier cas, cette limite doit apparaître dans les conclusions du test. Le testeur ne décide pas seul de cette extension.

Pentester, auditeur de sécurité technique et développeur : qui fait quoi ?

• Le pentester conduit les tests d’intrusion convenus et restitue les vulnérabilités, les risques et les recommandations.
• L’auditeur de sécurité technique couvre un ensemble plus large d’évaluations, pouvant comprendre des revues de configuration ou de code. Tous ces travaux ne font pas nécessairement partie du poste de pentester.
• Le développeur reçoit, lors des tests applicatifs concernés, des indications sur les pratiques de code à améliorer. Le pentester fournit les constats utiles sans se substituer à l’organisation chargée des corrections.

Un test d’intrusion doit aider l’entreprise à décider quelles vulnérabilités traiter et comment. Une liste de failles apporte peu si elle ne permet pas de comprendre les risques, les systèmes concernés et les solutions envisageables. La valeur du travail repose donc aussi sur l’analyse et la restitution, au-delà de la découverte technique.

L’organisation conserve la responsabilité d’apprécier le risque et de décider des corrections. Le pentester peut ne pas connaître tous les usages d’un système ni les conséquences d’une exploitation pour l’activité. Sa cotation doit être examinée avec les responsables concernés. Cette discussion sert à apprécier le risque pour l’entreprise, pas à minimiser un constat gênant.

Pour les logiciels spécifiques et les applications web, les résultats doivent donner aux développeurs un retour sur les pratiques de code à améliorer. Prévoyez une restitution qui relie chaque problème aux éléments techniques nécessaires pour le comprendre. L’échange avec les équipes informatiques aide à transformer les recommandations en corrections possibles, dont l’organisation décide ensuite la mise en œuvre.

Exemple fictif : une entreprise fait tester une application utilisée par plusieurs services. Le rapport décrit une vulnérabilité et propose une correction. Avant de fixer la priorité, le responsable de l’application précise les usages concernés et leurs conséquences possibles. Le pentester apporte l’explication technique nécessaire à cette décision, tandis que les responsables internes organisent la correction.

Un profil mal adapté peut compliquer cette restitution : expertise éloignée de l’environnement testé, conclusions difficiles à comprendre ou limites d’intervention mal explicitées. Pour cadrer le recrutement, reliez chaque exigence à une situation du poste. Une expertise réseau ne doit pas tenir lieu de preuve d’aisance sur les applications mobiles. De même, demandez une capacité de restitution adaptée aux destinataires du rapport, plutôt qu’une simple maîtrise des outils.

• Définir avec le commanditaire les systèmes à tester, les objectifs, les contraintes et les livrables attendus.
• Préparer des scénarios d’investigation adaptés aux environnements et aux actions autorisées.
• Rechercher et exploiter les vulnérabilités dans les limites convenues.
• Documenter les essais réalisés et les constats techniques obtenus.
• Analyser les vulnérabilités découvertes et leurs risques pour les activités concernées.
• Proposer des corrections et expliquer leurs objectifs aux équipes informatiques.
• Restituer les conclusions dans un rapport adapté aux destinataires.
• Signaler les composants hors périmètre et soumettre les éventuelles extensions au responsable du risque.

Les parcours informatiques de bac +3 à bac +5 avec une spécialisation en cybersécurité constituent des repères décrits par l’ANSSI pour l’audit de sécurité technique. Ils ne fixent pas un diplôme obligatoire pour chaque poste de pentester.

Un parcours pertinent doit permettre de comprendre les systèmes d’exploitation, les réseaux et les applications, puis de mobiliser ces connaissances dans une investigation. Les acquis concernent aussi la conduite des essais et l’analyse des résultats.

Le référentiel de l’École 2600 prévoit notamment une mise en situation d’audit technique, un rapport détaillé et une présentation devant des experts. Il couvre toutefois un domaine plus large que le seul pentest.

Une certification ne garantit pas à elle seule l’autonomie nécessaire pour conduire une mission de bout en bout.

Le socle commun de l’évaluation GetPro

GetPro s’appuie sur une grille de recherche qui hiérarchise les critères du poste et associe à chacun une modalité d’évaluation. Elle distingue les éléments vérifiables sur le parcours des compétences à approfondir en entretien. Les questions ouvertes et les exemples concrets servent à examiner les critères clés. La prise de références complète cette analyse en replaçant les compétences dans le contexte d’une collaboration passée.

Des applications conseillées pour évaluer un pentester

Les étapes ci-dessous proposent une adaptation à ce métier. Elles ne décrivent pas un protocole spécifique pratiqué par GetPro. Vous pouvez les adapter aux environnements et aux responsabilités du poste, notamment pour construire un cas pratique.

1. Définissez des critères liés au travail attendu

Séparez les compétences indispensables des spécialités utiles seulement à certaines missions. Nommez les systèmes à tester, les livrables attendus et les décisions que le candidat devra soumettre à un responsable.

Construisez une grille courte autour de la compréhension technique, de la démarche d’investigation, du respect du cadre et de la restitution. Pour chaque critère, distinguez ce que le candidat réalise seul de ce qui nécessite un accompagnement.

Retenez comme signal favorable une explication précise des environnements maîtrisés. Approfondissez les réponses qui présentent une expertise universelle sans réalisation correspondante.

2. Examinez une réalisation passée

Demandez au candidat de décrire une mission dont il peut présenter les éléments sans enfreindre ses engagements. Faites préciser les objectifs, les limites autorisées, son travail personnel et les conclusions remises.

Interrogez-le sur un choix de scénario et sur une difficulté rencontrée. Demandez ce qu’il a pu conclure, ce qui restait incertain et comment cette limite apparaissait dans le rapport.

Recherchez une distinction nette entre résultat d’outil, constat analysé et risque expliqué. Une succession de noms d’outils sans justification de la démarche appelle des questions supplémentaires.

3. Proposez un cas pratique autorisé

Préparez un exercice représentatif du poste dans un environnement explicitement prévu pour l’évaluation. Donnez les objectifs, les actions permises et les livrables attendus avant de commencer.

Exemple fictif : vous soumettez au candidat des constats issus d’une application de test et lui demandez de préparer une courte restitution. Faites-lui distinguer les éléments établis des informations nécessaires pour apprécier leur impact.

Demandez une explication de ses priorités et un extrait de rapport. Observez la cohérence entre les éléments disponibles, les conclusions formulées et les recommandations.

Valorisez la capacité à reconnaître une information manquante. Considérez comme une alerte une conclusion catégorique que le candidat ne peut pas relier aux éléments du cas.

4. Évaluez la communication et l’autonomie

Demandez deux explications du même constat : l’une destinée à un interlocuteur technique, l’autre à un responsable métier. Évaluez la précision conservée lorsque le vocabulaire devient plus accessible.

Soumettez ensuite la découverte d’un composant hors périmètre. Recherchez une réponse qui explicite le problème et sollicite une décision avant toute extension des essais.

Si le poste comprend le pilotage d’une mission, faites expliquer la répartition des travaux et la préparation de la restitution. Limitez ce critère aux responsabilités réellement prévues.

5. Organisez l’avis technique et les références

Si votre entreprise ne dispose pas de l’expertise nécessaire, faites examiner le cas et le rapport par un spécialiste des environnements concernés. Confiez au RH l’appréciation des attentes réciproques et des conditions de travail.

Avec l’accord du candidat, utilisez les références pour éclairer les responsabilités qu’il a réellement exercées. Posez des questions sur l’autonomie, la qualité des rapports et les échanges avec les équipes.

Confrontez ces éléments aux observations de l’entretien. Documentez les compétences établies, les incertitudes restantes et l’accompagnement envisagé avant de décider.