Chaque année se déroule le même enchaînement. Le cabinet mandaté consacre une semaine à tester votre périmètre, remet un rapport volumineux, le présente en comité de direction et s'en retourne. Le test annuel est fait, le rapport est archivé, et chacun reprend son activité.
Six mois plus tard, ce document ne reflète plus la situation. Et il avait déjà perdu une part de sa valeur quelques semaines après sa remise.
Les chiffres qui devraient vous empêcher de dormir
Le troisième chiffre mérite une explication, car il est récent. Mandiant mesure depuis des années l'intervalle entre la publication d'une vulnérabilité et le premier usage constaté. En 2018, cet intervalle s'établissait à soixante-trois jours. Il s'est réduit chaque année et, selon le rapport M-Trends 2026, il atteint pour 2025 moins sept jours : l'exploitation précède désormais, en moyenne, la disponibilité du correctif.
Le quatrième provient du Data Breach Investigations Report 2026 de Verizon. L'exploitation d'une vulnérabilité y constitue le point de départ de 31 % des violations analysées, contre 20 % l'année précédente, ce qui en fait pour la première fois la voie d'accès la plus fréquente, devant les identifiants dérobés.
Rapporté à votre calendrier, cela signifie que des dizaines de milliers de vulnérabilités ont été publiées depuis votre dernier test. Certaines concernent des technologies que vous employez, et une partie d'entre elles fait déjà l'objet d'un usage actif. Votre rapport reste une photographie prise à un instant donné, et cet instant s'éloigne.
Pourquoi le pentest annuel est devenu une fausse sécurité
Le modèle du test annuel a été conçu à une époque où les systèmes évoluaient lentement : serveurs physiques, applications monolithiques, mises à jour trimestrielles. Dans ce contexte, une vérification annuelle était cohérente.
Trois évolutions ont modifié cette équation.
Votre surface d'exposition change chaque semaine. Applications déployées, services en ligne activés, règles de pare-feu ajoutées, accès ouverts à des prestataires, équipements connectés. Chaque modification est susceptible d'introduire une faiblesse que le test précédent ne pouvait pas couvrir.
Les attaquants n'attendent pas votre prochain test. Les groupes organisés suivent les publications de vulnérabilités en continu et commencent à rechercher les systèmes concernés dans les heures qui suivent. Votre exposition se situe précisément dans l'intervalle entre la publication et votre propre correction.
Le test porte sur un périmètre défini. La plupart des missions couvrent le périmètre exposé et éventuellement le réseau interne. Restent en dehors les applications en ligne, les interfaces programmatiques, les environnements en nuage, les accès des prestataires et les postes en télétravail. Le périmètre réel dépasse toujours le périmètre contractuel.
Un constat inconfortable : le test annuel s'est souvent transformé en exercice de conformité plutôt qu'en exercice de sécurité. Il est conduit parce qu'un texte ou un client l'exige, et non parce qu'une amélioration en est attendue. Cette évolution n'a échappé à personne, y compris à ceux dont ce test est censé vous protéger.
Ce que votre pentest ne vous dit pas
Même correctement conduit, un test d'intrusion présente des limites structurelles :
- Absence de dimension temporelle : il rend compte d'un état à un moment donné et ne détecte ni les faiblesses introduites la semaine suivante, ni les accès qui n'étaient pas actifs pendant la fenêtre de test.
- Limites de périmètre et de durée : les intervenants disposent de quelques jours, là où un attaquant réel ne connaît pas cette contrainte.
- Absence de détection des menaces internes : l'exercice simule un attaquant extérieur ou disposant d'un accès initial. Il ne met pas en évidence une exfiltration progressive conduite depuis l'intérieur.
- Interprétation trompeuse d'un rapport favorable : l'absence de constat critique signifie que rien n'a été trouvé sur le périmètre testé, pendant la durée impartie, avec les techniques employées. C'est une information utile, mais plus étroite qu'il n'y paraît.
L'alternative : la sécurité continue
Le test annuel n'a pas vocation à disparaître, mais à s'inscrire dans un dispositif plus large. Les cinq composantes ci-dessous se combinent selon le périmètre et la maturité de l'organisation.
1. Analyses de vulnérabilités automatisées et régulières. Des analyses hebdomadaires ou bimensuelles du périmètre externe et interne, non pour remplacer l'intervention humaine, mais pour couvrir l'intervalle entre deux tests. Le coût suit le nombre d'actifs analysés et la fréquence retenue.
2. Tests ciblés trimestriels. Plutôt qu'un test annuel étendu, répartissez le budget sur quatre interventions plus courtes, chacune portant sur un périmètre distinct ou sur les changements intervenus. À budget constant, la couverture temporelle est nettement supérieure.
3. Programme de divulgation ou test continu. Pour les organisations qui en ont la maturité, un programme de signalement ou un service de test en continu maintient une pression permanente sur le périmètre exposé. La condition est de pouvoir traiter les signalements reçus.
4. Surveillance de la surface d'exposition. Des outils dédiés suivent en continu ce qui est visible depuis internet et signalent l'apparition d'un actif, l'exposition d'un service non prévu ou la publication d'une vulnérabilité touchant l'un de vos systèmes.
5. Exercices de simulation d'attaque. Complétez les tests techniques par un exercice conduit sur plusieurs semaines, sans règles prédéfinies et incluant les aspects humains. C'est l'évaluation la plus proche des conditions réelles.
Approche pragmatique pour les PME marocaines : associer des analyses automatisées mensuelles, deux tests ciblés semestriels et un exercice de simulation annuel couvre l'essentiel du risque sans mobiliser une équipe interne. Pour situer la dépense, comparez-la non pas au prix du test annuel qu'elle remplace, mais au coût d'une journée d'arrêt de production dans votre usine. C'est le seul rapport qui rende la décision évidente.
Ce que la loi 05-20 attend réellement
Ni la loi ni les directives de la DGSSI ne se satisfont d'un test annuel. Elles exigent des mesures de sécurité proportionnées et continues. Un opérateur en mesure de démontrer une démarche suivie, associant analyses régulières, tests fréquents et surveillance du périmètre exposé, se présente dans de bien meilleures conditions lors d'un contrôle qu'un opérateur produisant un rapport vieux de neuf mois.
Le maCERT publie par ailleurs des alertes sur des vulnérabilités critiques. Si votre dispositif se résume à une vérification annuelle, la prise en compte de ces alertes intervient au mieux lors du test suivant, c'est-à-dire plusieurs mois trop tard.
Le pentest n'est pas mort, mais il doit évoluer
Le test d'intrusion conserve sa valeur comme élément d'un dispositif. Isolé, il ne suffit pas. La comparaison avec un bilan de santé annuel est éclairante : l'examen a son utilité, mais il ne dispense pas de surveiller les paramètres entre deux rendez-vous.
La question à poser en comité de direction n'est donc pas de savoir si le test de l'année a été réalisé, mais si l'organisation sait, à la date du jour, quelles sont ses vulnérabilités critiques et dans quel délai elle peut les traiter. Une réponse qui dépend d'un rapport ancien de plusieurs mois indique une difficulté qu'aucun test supplémentaire ne résoudra.