Pour réaliser un audit de sécurité ou un test d’intrusion (pentest) mené par des experts humains, le critère de référence en France est souvent la qualification PASSI (Prestataire d'Audit de la Sécurité des Systèmes d'Information) délivrée par l'ANSSI.
Voici une sélection de cabinets et agences de conseil spécialisés :
1. Les « Pure Players » d'élite de la sécurité offensive
Ces agences sont particulièrement réputées pour leur très haut niveau technique en pentest, audit de code et scénarios d'attaque complexes (Red Teaming) :
- Synacktiv (synacktiv.com) : L'un des cabinets de sécurité offensive les plus pointus en France. Ils sont qualifiés PASSI et interviennent sur les tests d'intrusion complexes (applications web/mobiles, infrastructures, IoT/embarqué, reverse-engineering).
- XMCO (xmco.fr) : Spécialiste reconnu des audits techniques, tests d'intrusion, tests de phishing et exercices de Red Team. Également qualifié PASSI.
- Sysdream (sysdream.com) : Acteur historique du pentest en France (filiale du groupe Hub One). Qualifié PASSI, Sysdream réalise des tests d'intrusion externes/internes, des audits d'architectures et de la simulation d'ingénierie sociale.
- Quarkslab (quarkslab.com) : Spécialiste mondial de l'analyse de vulnérabilités, de l'audit de code source, de la cryptographie et de la sécurité des applications mobiles/systèmes bas niveau.
2. Les cabinets experts & intégrateurs cyber indépendants
Idéaux pour les PME, ETI et grands comptes cherchant à la fois des audits techniques et un accompagnement de remédiation :
- Advens (advens.fr) : Premier acteur indépendant français en cybersécurité (qualifié PASSI). Ils couvrent tous les volets de l'audit (tests d'intrusion, audit d'architecture, audit organisationnel et de conformité).
- I-TRACING (i-tracing.com) : Société de services spécialisée à 100 % en cybersécurité, réalisant des audits de vulnérabilités, des pentests d'infrastructures cloud/on-premise et de l'analyse de compromission.
- Devensys Cybersecurity (devensys.com) : Cabinet d'audit et de conseil cyber accompagnant les PME, ETI et collectivités (pentest réseau, applicatif, audit de configuration).
- Inquest (inquest.fr) : Cabinet spécialisé dans l'évaluation des risques et la réalisation de tests d'intrusion / audits de conformité.
3. Les grands cabinets et filiales télécom / ESN
Adaptés aux grandes entreprises ayant besoin de déployer des campagnes d'audit d'envergure internationale :
- Orange Cyberdefense (orangecyberdefense.com) : Leader européen des services de cybersécurité. Disposent de nombreuses équipes d'auditeurs qualifiés PASSI intervenant sur tous types d'environnements (IT, OT, Cloud).
- Wavestone (wavestone.com) : Grand cabinet de conseil disposant d'un laboratoire technique et d'équipes d'audit/pentest de premier plan (certifié PASSI).
Conseil pour choisir votre prestataire :
- Vérifiez le périmètre précis : Spécifiez s'il s'agit d'un pentest en boîte noire (sans information préalable), boîte grise (avec accès utilisateur standard) ou boîte blanche (avec accès au code source et à l'architecture).
- Exigez la qualification PASSI : Si vous traitez des données sensibles ou êtes soumis à des obligations réglementaires (secteur public, OIV, NIS 2, DORA), choisissez impérativement une agence qualifiée PASSI par l'ANSSI.