Devons-nous faire un test d'intrusion, quand et avec quel périmètre ?

En tant que directeur de la sécurité de l'information, j'aimerais ajouter quelques points concernant la préparation du client.

Premièrement, l'autorisation écrite avant le test. Toucher à un système hors périmètre pose des problèmes techniques et juridiques. La fenêtre de test, le canal de communication et la procédure d'arrêt d'urgence doivent être écrits.

Deuxièmement, le moment du test. Un test en période de forte activité comporte aussi un risque réel de panne. Partagez cela à l'avance avec les départements métier.

Troisièmement et surtout : ne lancez pas de test sans allouer de ressources pour la correction des failles. Attendre avec un rapport de failles non corrigées est une position pire que de ne pas tester du tout. Lors de la présentation du budget, budgétez l'effort de correction autant que le coût du test.

Une suggestion de l'équipe de supervision : pendant le test, mesurez aussi votre propre capacité de détection.

Quand le testeur a essayé d'intruder dans le système, votre système de supervision l'a-t-il remarqué ? En combien de temps ? Qui a reçu l'alerte ? Cette info est parfois plus précieuse que la liste des vulnérabilités du rapport.

Méthode pratique : demandez au testeur une liste horodatée de ses actions. Comparez ensuite avec vos propres logs. Vous saurez exactement quelle étape vous avez manquée.

J'aimerais aussi aborder l'aspect protection des données, car cette étape est souvent négligée.

Le traitement de données personnelles peut être concerné pendant le test. L'utilisation de données réelles en environnement de test, la copie de données de production, l'ajout de captures d'écran au rapport doivent être évalués séparément.

Je recommande d'ajouter des clauses de confidentialité et de traitement des données au contrat avec le prestataire de test, et d'utiliser des données masquées autant que possible. La durée de conservation et la destruction du rapport doivent aussi être écrites.

Une question : combien de jours-homme sont indiqués dans l'offre pour un "test complet" ?

La raison est simple : ce travail se mesure en temps. Un test de cinq jours et un test de quinze jours ne trouveront pas les mêmes choses, et c'est là que se cache la majeure partie de la différence de prix. Une offre sans jours-homme n'est pas comparable.

Merci, je vais faire de ce fil une annexe à ma présentation budgétaire.

Quand j'ai posé la question des jours-homme, deux des trois offres ont été révisées, une n'a pas répondu. Le tableau comparatif est maintenant réellement comparable.

J'ai aussi intégré directement dans la présentation l'avertissement de Yavuz Bey : "budgétez aussi l'effort de correction". La dernière fois, on a bloqué exactement là-dessus.

cette approche a un coût dont on ne parle pas et bon l'erreur commise du côté de test d'intrusion est généralement réversible, mais coûteuse.

c'est mon avis je ne l'écris pas comme une vérité absolue.

Exactement, et ce n'est pas si connu que ça. Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

J'espère que cela vous sera utile.

Je ne savais pas ça. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

C'est confirmé par l'expérience.

Nous avons vécu presque la même chose l'année dernière. Si vous ne formalisez pas cela par écrit dès le départ des disputes éclateront plus tard.

Bon courage.

J'ai été soulagé en lisant cette réponse donc ce n'est pas seulement mon cas. du coup l'erreur commise du côté de test d'intrusion est généralement réversible, mais coûteuse.

Je suis aussi curieux de savoir si d'autres font autrement.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

L'erreur commise du côté de test d'intrusion est généralement réversible, mais coûteuse. Bon courage.

Merci beaucoup je teste dès aujourd'hui. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Je suis d'accord, j'aimerais même souligner ce point. bon si le chemin de notification est long la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale. Bien sûr, cela change si votre situation est différente.

J'ai été soulagé en lisant cette réponse, donc ce n'est pas seulement mon cas... franchement si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé. C'est confirmé par l'expérience.

si vous partez dans cette direction, régelz cela dès le départ mais essayer de faire cela seul est la voie la plus coûteuse.

je suis auussi curieux de savoir si d'autres font autrement.

pour entrer dans le détail : Ce qui nous faisait perdre le plus de temps c'était l'absence de clarté sur qui prenait les décisions.

j'espère que cela vous sera utile.

Pour entrer dans le détail : Les gens défendent l'habitude, pas le processus. La résistance vient de là.

Essayer de faire cela seul est la voie la plus coûteuse. J'espère que cela vous sera utile.

J'ai vécu exactement la même chose il y a deux ans. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.