L'essentiel en un coup d'œil
- Tarifs journaliers classiques : Les cabinets de conseil suisses établis facturent en moyenne entre CHF 2'200 et CHF 3'500 par jour-homme. Un projet standard s'étend sur 4 à 10 jours (soit CHF 8'800 à CHF 35'000).
- Analyse des menaces moderne : Grâce au pré-diagnostic assisté par IA et à la vérification experte rigoureuse, Suisse Guard propose l'audit complet du périmètre externe à prix fixe garanti de CHF 2'800 hors TVA.
- Déroulement : Un pentest professionnel s'articule impérativement en cadrage, reconnaissance, exploitation contrôlée, dossier de remédiation priorisé et contre-test obligatoire.
- Critère décisif : Un simple rapport brut de scanner de 80 pages listant des scores CVSS ne sert à rien. La valeur réside dans un dossier priorisé avec instructions de remédiation pas à pas et re-test inclus.
1. Pourquoi les écarts de prix sont-ils si marqués en Suisse ?
Lorsque les directions informatiques de Genève, Lausanne, Fribourg ou Neuchâtel sollicitent une offre pour un test d'intrusion, elles reçoivent souvent des devis variant du simple au quadruple. Un cabinet zurichois chiffre CHF 18'000 pour une intervention de deux semaines, tandis qu'un prestataire local propose un « scan de sécurité » à CHF 1'200. Où se situe la différence réelle ?
La tarification traditionnelle du marché suisse repose sur le modèle du conseil en régie : un ou deux consultants seniors réservent des plages fixes sur leur calendrier, mènent des tests manuels et rédigent manuellement un rapport. À des taux usuels oscillant entre CHF 2'200 et CHF 3'500 hors TVA par jour, la facture s'envole rapidement. Si ce modèle convient aux multinationales ou aux banques d'importance systémique, il s'avère prohibitif pour les PME, études d'avocats ou administrations communales suisses.
À l'autre extrémité, les scanners de vulnérabilités purement automatisés inondent les équipes de faux positifs, ne comprennent aucunement le contexte métier et n'éprouvent aucune chaîne d'attaque complexe (bipasse d'authentification multifacteur, élévation de privilèges).
| Modèle d'évaluation | Prix indicatif (CHF) | Délai & Mobilisation | Profondeur & Valeur ajoutée |
|---|---|---|---|
| Scan de vulnérabilités pur (p. ex. Nessus, Qualys) |
CHF 500 – 1'500 | 1 – 2 jours | Simple corrélation de versions CVE publiques. Taux élevé de faux positifs, aucune exploitation manuelle, aucun contexte métier. |
| Test d'intrusion classique (Grands cabinets de conseil) |
CHF 9'000 – 22'000 | 2 – 4 semaines de délai, 5 – 10 jours de test | Examen approfondi mais onéreux et lourd administrativement. La contre-vérification fait souvent l'objet d'une facturation additionnelle. |
| Analyse des menaces Suisse Guard (Périmètre externe complet) |
CHF 2'800 (forfait) | Démarrage sous 48h, 5 – 10 jours ouvrés | Pré-analyse par IA couvrant l'ensemble de la surface externe, validation humaine de chaque vulnérabilité, dossier de remédiation clair, contre-test et certificat ISO 27001 inclus. |
2. Les phases méthodologiques d'un test d'intrusion externe
Pour qu'un audit technique apporte une garantie tangible et opposable aux régulateurs suisses (Préposé fédéral à la protection des données PFPDT, OFCS, FINMA), il doit suivre une méthodologie rigoureuse, alignée sur les standards OWASP Top 10 et NIST SP 800-115 :
- Cadrage et règles d'engagement : Définition claire des domaines, adresses IP et sous-systèmes autorisés. Signature préalable d'un accord de confidentialité (NDA) conforme au droit suisse.
- Reconnaissance de surface (OSINT & EASM) : Détection de tous les sous-domaines oubliés, portails d'administration exposés (RDP, SSH, VPN), certificats expirés et fuites d'identifiants sur le Darknet touchant vos collaborateurs.
- Exploitation non destructive : Validation concrète de la faisabilité des intrusions sans interrompre la disponibilité des services de production (Crucial pour les hôpitaux et sites industriels).
- Dossier de remédiation : Classement des vulnérabilités par niveau de sévérité métier, accompagné de consignes précises de correction technique pour votre équipe IT ou prestataire infogérant.
- Contre-test (Re-test) systématique : Après correction des failles par votre équipe sous 30 jours, nos experts re-testent chaque vulnérabilité pour attester formellement de sa clôture avant remise du certificat officiel.
3. Critères pour choisir son prestataire en Suisse
Avant d'engager un auditeur de sécurité, exigez des garanties formelles :
- Localisation des données en Suisse : Vos rapports d'audit contiennent les faiblesses les plus intimes de votre organisation. Ils ne doivent jamais transiter ni être hébergés sur des clouds étrangers soumis au Cloud Act américain. Chez Suisse IT, toutes les données résident exclusivement en Suisse.
- Certification ISO/IEC 27001:2022 : Le prestataire doit prouver sa propre rigueur opérationnelle. Suisse IT GmbH est officiellement certifiée ISO 27001 par la Swiss Safety Center AG accréditée.
- Inclusion de la contre-vérification : Refusez les offres où la vérification des correctifs est facturée en supplément. Un audit inachevé sans re-test laisse l'organisation dans l'incertitude.
