On nous a dit de faire un test de pénétration — expliquez-moi clairement, c'est vraiment nécessaire ?

Imaginez : le scan automatique, c'est un agent qui regarde la marque des serrures de l'immeuble et vérifie si elles ont un défaut connu. Le test de pénétration, c'est un intrus professionnel qui essaie d'entrer comme un cambrioleur, qui force les fenêtres, qui teste l'escalier de secours. Les clients pros veulent voir si la porte s'ouvre vraiment ou pas.

Pour un contrat B2B similaire, on en a fait faire un l'an dernier en payant 4 500 dollars. Au début ça semblait très inutile mais le rapport a révélé une faille très critique permettant un accès non autorisé à la base de données clients. Grâce au résumé exécutif qu'on a présenté au client, on a décroché sans problème un contrat de 60 000 dollars, ça a largement rentabilisé le coût.

Allez voir votre client tout de suite et posez-lui cette question : « Vous avez une attente spécifique en matière de norme ou de périmètre pour le rapport ? » Parfois les clients veulent juste un scan d'IP externe, parfois ils attendent un test complet de l'application. Si vous arrivez à réduire le périmètre, la facture de 8 000 dollars proposée peut descendre jusqu'à 3 000 dollars.

Il y a plein de boîtes sur le marché qui font tourner un outil automatique à 1 000 dollars et te vendent un rapport complexe de 80 pages comme un « test d'intrusion ». Les équipes de sécurité informatique des entreprises repèrent ce genre de faux rapports au premier coup d'œil et tu perds toute leur confiance. Le service que tu prends doit absolument inclure une vérification manuelle.

C'est la règle d'or du monde de l'entreprise : ils adorent refiler leurs propres risques à des petits fournisseurs. Si tu ne paies pas 4 000 dollars maintenant pour avoir le rapport, ils confient le contrat à un autre fournisseur, et ensuite ils ne contrôlent jamais la sécurité de ce fournisseur. Malheureusement, tu es obligé de jouer à ce jeu selon leurs règles.

nous aussi on a paniqué quand ils l'ont demandé la première fois. en fait c'était la compagnie d'assurance du client qui l'imposait. franchement on a clarifié le périmètre et on s'est arrangés avec une petite boîte ils ont fini le test en trois jours et rendu le rapport de synthèse et le contrat a été signé.

N'ayez pas peur ils ne font rien qui va faire planter votre système... Avant le début du test, un protocole de confidentialité et d'autorisation est signé ils travaillent dans un environnement de test ou à des horaires contrôlés. Si vous voulez faire grandir votre entreprise, ce genre d'étapes corporate devient malheureusement incontournable.

Votre client veut le test directement en environnement de production ou vous allez monter un serveur de test ? Et aussi vous avez des données clients sensibles dans votre base de données ? Sans clarifier le périmètre, c'est très difficile de comparer les offres des différentes boîtes.

Merci, c'était exactement la réponse que je cherchais.

Je suis une petite entreprise laissez-moi expliquer de mon point de vue. Les gens défendent l'habitude pas le processus. La résistance vient de là.

Je suis aussi curieux de savoir si d'autres font autrement.

Nous avons aussi bloqué au même endroit à une époque. Changer une habitude est plus difficile et coûteux que de mettre en place un système.

Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Si j'ai bien compris, vous dites que : Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant j'ai appris cela trop tard.

mes dotes sont levés merci mais n'entrez dans aucun accord sans plan de sortie.

j'espère que cela vous sera utile.

Je suis intéressé.

Vous avez raison, je suis aussi passé par là. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Calculez sur le coût annuel total, pas sur la facture mensuelle. C'est mon avis, je ne l'écris pas comme une vérité absolue.

J'ai vécu exactement la même chose il y a deux ans. bref mesurez d'abord segmentez ensuite. Dans cet ordre, les débats cessent.

J'espère que cela vous sera utile.

Merci beaucoup, je teste dès aujourd'hui.

Nous avons vécu presque la même chose l'année dernière. L'erreur commise du côté de test de pénétration est généralement réversible, mais coûteuse.

Voilà, désolé si je me suis étendu.