SOC 2 · Trust Services Criteria
Une vraie preuve pour l'auditeur, pas une case magique.
La SOC 2 n'impose pas mot pour mot « un pentest », mais la plupart des auditeurs en attendent un comme preuve de gestion des vulnérabilités (CC4.1, CC7.1). Je livre exactement ça : un test manuel, un rapport que votre auditeur accepte, et une remédiation reliée à vos contrôles, sans jargon inutile ni FUD.
Ce que couvre le pentest.
Un scan de vulnérabilités ne suffit pas à un auditeur exigeant. Test manuel et approfondi des failles de logique métier et d'autorisation que les outils ignorent, sur votre application. OWASP WSTG + API Top 10, en authentifié comme en non authentifié.
Quatre étapes. Prix et périmètre fixes.
De la prise de contact à l'attestation, votre audit suit une séquence claire. Vous savez toujours où vous en êtes, ce qui a été trouvé et ce qu'il reste. Prix fixe dès 4 500 €, défini au cadrage.
Cadrage
Un court appel, un prix fixe, des règles d'engagement écrites. Aucune surprise sur la facture ni en production.
~ 1 appelTest
Test manuel sur les cibles convenues, canal ouvert en direct. Le critique est signalé le jour où je le trouve.
5–10 joursRapport
Chaque faille : criticité, reproduction, impact réel, correctif concret. Plus une synthèse pour vos clients.
2–3 joursContre-test
Vous corrigez, je vérifie et délivre une attestation propre. Inclus, pas une prestation à part.
gratuit · 30 jQuand ce test devient urgent.
Un pentest n'attend pas l'incident. Voici les déclencheurs les plus fréquents chez les équipes en démarche SOC 2 qui me contactent.
- Votre auditeur demande une preuve de test d'intrusion pour la période
- Vous passez de Type I à Type II et devez couvrir la fenêtre d'observation
- Un renouvellement annuel impose de refaire le pentest chaque année
- Un questionnaire sécurité client exige le rapport en pièce jointe
- Votre plateforme de conformité (Vanta, Drata…) coche l'exigence pentest
- Une release majeure tombe pendant votre période d'audit
Ce qu'on me demande avant de signer.
Les vraies questions d'un premier appel de cadrage en démarche SOC 2. Si la vôtre manque, elle a sa réponse en un e-mail.
Un pentest est-il obligatoire pour la SOC 2 ?
Pas au sens strict : la norme parle de gestion des vulnérabilités (CC4.1 / CC7.1), pas de « pentest » littéral. En pratique, la plupart des auditeurs en attendent un comme preuve. Je livre cette preuve. Même exigence côté certification ISO 27001 (contrôles A.8.8 / A.8.29).
Le rapport satisfait-il l'auditeur ?
Oui. Méthodologie, périmètre, findings avec criticité et preuve, plus une attestation de remédiation après contre-test. Format conçu pour être versé au dossier d'audit tel quel.
Type I ou Type II : quand tester ?
Idéalement avant le début de votre période d'observation Type II, pour laisser le temps de corriger. Pour un Type I, juste avant l'audit suffit. On cale la date au cadrage.
À quelle fréquence refaire le pentest ?
En général une fois par an, et après tout changement majeur de l'application. C'est le rythme qu'attendent la plupart des auditeurs et des clients.
Comment fixez-vous le prix ?
Forfait fixe défini au cadrage, à partir du périmètre. Pas de facturation à l'heure, pas de dépassement surprise. Vous validez le prix avant que je commence.
Que se passe-t-il une fois les correctifs faits ?
Contre-test inclus, gratuit, sous 30 jours. Je revérifie chaque faille corrigée et délivre une attestation à jour, prête pour vos clients.
Qui mène votre test.
Les certifications ne trouvent pas les failles. L'attention méthodique, si. C'est ce que vous payez vraiment.
Saïd Mimouni
Pentest & audit de sécurité · applications web & API
Je teste des applications web et des API à la main, aujourd'hui en solo pour des startups et des agences. Vous parlez à la personne qui ouvre le terminal, du premier e-mail au contre-test.
Je suis aussi le fondateur d'auditdude.com, un audit de code en boîte blanche : même regard sécurité, côté source. Ici, c'est du test manuel côté attaquant, mené par moi.
Le livrable, page par page.
Un rapport qui passe les revues SOC 2 : synthèse pour l'auditeur, registre noté CVSS v3.1, attestation transmissible à vos clients. Exemple complet ci-dessous, mené sur OWASP Juice Shop, l'application volontairement vulnérable de l'OWASP.
- Synthèse exécutive lisible
- Registre noté CVSS v3.1
- Preuves d'exploitation reproductibles
- Correctif concret par faille
- Références OWASP & CWE
- Attestation transmissible
PDF · 7 pages · livrable en français ou en anglais
Un pentest pour votre SOC 2 ?
Dites-moi l'application, votre échéance d'audit et le type (I ou II). Vous recevrez un périmètre et un prix fixe en retour, souvent le jour même.