Choix d'un prestataire de pentest : quels documents exiger et l'agrément officiel est-il obligatoire ?

Regardez avant tout les certifs techniques du pentesteur passées sur examen pratique plutôt que le label de la boîte. Les certifs purement théoriques s'obtiennent facilement avec des corrigés sur le net. Quand le rapport est signé par des gars qui ont validé des exams pratiques en environnement de labo sous chrono de 24h, aucun auditeur ne viendra contester le document.

Il y a deux ans, on a payé 20.000 TL à une équipe non certifiée. Leur rapport d'audit se résumait quasiment à lister les numéros de version de nos serveurs... Lors d'un contrôle de sécurité avec un gros compte, le rapport a été recalé direct. On a dû repayer 70.000 TL à une boîte certifiée TSE pour tout refaire de zéro.

Quand vous demandez des devis, envoyez une liste de critères standard aux prestataires. Avant de signer, exigez ces trois documents : 1) Le CV et les numéros de certification des intervenants qui réaliseront le test, 2) Un exemple de rapport de test anonymisé, 3) Une copie de leur attestation d'assurance responsabilité civile professionnelle, s'ils en ont une. Éliminez d'office ceux qui ne peuvent pas fournir ces trois éléments.

La certif TSE est délivrée à la boîte, mais rien ne les empêche de refiler le test à un stagiaire. Le marché est plein de boîtes qui affichent fièrement leur label TSE mais se contentent de lancer des scanners automatiques en tâche de fond. Plus que le tampon de l'entreprise, faites inscrire dans le contrat l'identité exacte de la personne qui attaquera vos adresses IP.

La norme ISO 27001 exige une évaluation technique indépendante, sans pour autant imposer une accréditation délivrée par un organisme public précis. Néanmoins, pour prouver la mise en œuvre des mesures techniques prévues par le guide de sécurité des données du KVKK, faire appel à un prestataire doté de la personnalité morale et aux compétences reconnues constitue une présomption très favorable pour votre entreprise en cas d'audit.

l'accreditation seule ca veut rien dire les gars puis ce qui compte c'est de bosser avec des gens assez experimentes pour pas faire planter la prod. genre faites absolument blinder le contrat avec une clause d'assurance pro.

Si notre dev senior scanne le système avec des outils open source et génère un rapport est-ce que ce sera accepté lors de l'audit de certification ISO 27001 ?

Le mec qui vous fait un devis à 25.000 TL va faire tourner un outil open source pendant deux jours et vous balancer un export de 80 pages en anglais. Celui qui demande 85.000 TL va faire exactement pareil, mais en remplaçant le logo de l'outil par une page de garde avec le logo TSE. La seule différence c'est la tête que fera l'auditeur en voyant le premier rapport.

Chez nous aussi.

Je suis une petite entreprise, laissez-moi expliquer de mon point de vue. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

À votre place, j'irais par cette voie.

Désolé, mais ce n'est pas vrai dans tous les cas. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Je le note au cas où.

J'aurais une question, sans vouloir m'éloigner du sujet. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Je le note au cas où.

Exact.

Vous avez raison je suis aussi passé par là. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Prendre une mesure sans faire d'inventaire c'est laisser une porte ouverte sans le savoir. Si vous écrivez le résultat ici cela aidera aussi d'autres personnes.

ce sujet est archivé.

la discussion part dans tous les sens je recentre. la plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

je suis aussi curieux de savoir si d'autres font autrement.

Mon regard a changé après avoir vécu cela. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Voilà, désolé si je me suis étendu.

Résumé rapide pour les nouveaux : Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.