Il arrive que des vulnérabilités soient présentes dans les composants de l‟infrastructure directement accessibles depuis l‟extérieur d‟une société. Ces vulnérabilités pourraient permettre à un attaquant d‟obtenir un accès non autorisé à des systèmes et données sensibles et / ou causer une interruption de services critiques pour la société, voir permettre à un attaquant externe d‟accéder au réseau interne de la société N.B. : si les scans de vulnérabilités sont réalisés au moyen d‟outils automatisés, les tests d‟intrusion sont davantage manuels, tentent d‟exploiter véritablement certaines vulnérabilités identifiées pendant les scans et comprennent des techniques utilisées par les individus malveillants → leurs résultats peuvent donc fortement différer • Accès non autorisé au réseau interne depuis Internet • Consultation des informations d‟autres utilisateurs d‟une application • Téléchargement non autorisé de fichiers clients, prospects, cartes bancaires, etc. • Saisie et / ou validation de transactions non autorisées • Prise de contrôle « complète » de certains composants • Déni de service 5. Revuedecode source Une revue de code source permet d‟identifier des vulnérabilités plus ou moins critiques difficilement identifiables via les précédents modules • Présence de fonctionnalités non voulues (à fins de tests, malicieuses, etc.) • Pratiques de programmation promptes à causer des problèmes de stabilité
• Plus généralement, tout vecteur d‟attaque difficile à identifier autrement

Modules Utilité Exemples de constats 1. Evaluation d’architecture sécurité Il arrive que l‟architecture d‟un système d‟information comporte des erreurs de conception intrinsèques rendant plus difficile voir impossible sa sécurisation. Une analyse détaillée de l‟architecture déployée