Méthodes d'analyse des vulnérabilités : qu'est-ce qui suffit pour une petite boîte avant le premier pentest ?

Les scanners automatiques repèrent les injections SQL ou les ports ouverts, mais ils ne peuvent pas vérifier si l'utilisateur A a accès à la facture de l'utilisateur B. Dans un SaaS logistique B2B, le plus gros risque c'est le cloisonnement des accès (multi-tenancy). Et ça, ça ne se voit qu'avec un test manuel.

Qu'est-ce qui est écrit exactement dans le questionnaire de sécurité envoyé par votre client ? Parfois ils demandent juste si des scans réguliers sont faits parfois ils imposent explicitement un « Penetrationstest nach BSI » certifié par un tiers ou une norme équivalente. Ne dépensez rien avant d'avoir clarifié ce point.

Avec notre équipe de 12 personnes, on a payé 3 200 EUR pour 2 jours de test web hybride lors de notre premier audit. On a corrigé en une semaine les 2 failles critiques trouvées, on a demandé un rapport de contre-visite (re-test) et le client a validé. 9 000 EUR pour démarrer, c'est clairement trop.

Réduisez le périmètre (scope). Ne donnez pas toute votre infrastructure cloud à l'agence, ciblez uniquement l'application web et les endpoints d'API où le client envoie ses données. En réduisant le scope, le nombre de jours/homme et le devis vont être divisés par deux.

si vous mettez 2 500 eur juste pour un rapport de scan auto, c'est de l'argent jeté par les fenêtres. ils prennent deux pages de sortie d'outils open source, ils mettent un joli logo et appellent ça un rapport. l'auditeur du grand compte va le voir direct et va vous recaler.

Ne faites pas attention aux agences qui prétendent que la revue d'architecture est obligatoire. Évidemment qu'ils veulent vendre leur prestation la plus chère. Mais un audit d'architecture complet pour une boîte de 10 personnes, ça prend des semaines et ça va bloquer le dev de votre produit.

Assurez-vous impérativement que la prestation de « Re-test » (nouveau test de validation) soit incluse dans le devis. Une fois les failles critiques corrigées, l'auditeur doit impérativement fournir un rapport de synthèse managérial confirmant que ces vulnérabilités ont bien été résolues.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

C'est confirmé par l'expérience.

Ne manquez rien : Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

C'est mon avis je ne l'écris pas comme une vérité absolue.

Il y a un piège ici, je ne pouvais pas ne pas le mentionner. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois. J'espère que cela vous sera utile.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. Une sauvegarde non testée n'est pas une sauvegarde.

Chez nous aussi. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Les décisions hâtives finissent par être corrigées six mois plus tard. Bien sûr, cela change si votre situation est différente.

Enregistré. Si vous ne formalisez pas cela par écrit dès le départ des disputes éclateront plus tard.

Voilà, désolé si je me suis étendu.

Enregistré.

ma question va paraître un peu novice, désolé d'avance et si vous obtenez trois réponses différentes sur un sujet la question est mal posée.

je suis aussi curieux de savoir si d'autres font autrement.

Il y a un point auquel il faut faire attention. Une sauvegarde non testée n'est pas une sauvegarde.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

J'ai vécu la même chose.

Merci beaucoup, je teste dès aujourd'hui.