Comment définir le périmètre d'une autorisation écrite pour un test d'intrusion et que doit contenir le document ?

Mettez absolument une clause de déclaration d'IP source dans le document. Les adresses IP externes statiques depuis lesquelles l'équipe qui réalisera le test effectuera le scan doivent être écrites. Ainsi, dans votre pare-feu applicatif web, vous pourrez distinguer le test d'une véritable cyberattaque et filtrer facilement les activités de test si vous devez faire une analyse de forensique dans les logs.

Les clauses pénales et de confidentialité du contrat doivent être rédigées dans le cadre des articles sur les crimes informatiques du Code pénal turc et de la loi sur la protection des données personnelles. Le protocole de notification immédiate et de suppression sécurisée à appliquer en cas d'accès aux données client ou aux enregistrements financiers sensibles pendant le test doit être défini de manière juridiquement contraignante.

N'ouvrez pas directement votre base de données live au test. Préparez un environnement de test qui est une copie conforme de l'environnement de production, anonymisez les données client sensibles et faites réaliser le test là-bas. Ce qui importe pour les banques, ce sont les failles dans l'architecture et le code ; il n'y a aucune raison de risquer la table client en environnement live.

Même si vous préparez un document de périmètre, beaucoup de boîtes sur le marché se contentent de lancer des outils de scan de vulnérabilités automatiques standards. Si vous ne mettez pas au contrat une limite du genre « le débit des scanners automatiques ne peut pas dépasser tel nombre de requêtes par seconde », votre passerelle API se bloque et les clients reçoivent des erreurs.

L'année dernière, sur un test similaire, on avait autorisé le créneau 02h00-05h00. Le spécialiste qui faisait le test a chargé par erreur la file de prod au lieu du staging et notre serveur de messagerie a planté pendant 40 minutes. Heureusement qu'il y avait la clause d'arrêt d'urgence, on a coupé le test en 3 minutes. Sans cette clause, on n'aurait pas été prêts pour la shift du matin.

edit : j'ai corrigé quelques fautes de frappe.

Le type de test ce sera boîte noire ou boîte blanche ? Si le code source ou la doc API est fourni à l'équipe, les clauses de protection de la propriété intellectuelle et de destruction des codes à la fin du test deviennent beaucoup plus vitales dans le document.

Sans autorisation écrite ne laissez même pas pinger un seul port ; le délit d'accès non autorisé peut mettre les deux parties directement face au parquet.

Vous avez raison, je suis aussi passé par là. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Corrigez-moi si je me trompe.

Je vais essayer. Avant de décider, regardez quelles données vous avez en main.

Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

vous avez raison. bon si la double authentification est activée, un mot de passe volé seul ne suffit pas.

le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle. si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Trois avis différents sont sortis ils se complètent tous. Le vrai problème n'est pas le chiffre mais la base sur laquelle il est calculé.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

C'est une bonne idée d'avoir ouvert ce sujet.

Je suis d'accord.

Je vais résumer ce qui a été dit jusqu'ici. La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Si c'est une première, commencez petit, l'échelle viendra plus tard. Je suis aussi curieux de savoir si d'autres font autrement.

C'est noté, merci. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Le vrai problème n'est pas le chiffre mais la base sur laquelle il est calculé.

Merci d'avoir écrit cela, c'est exactement ça. Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

je ne saavais pas ça. le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Je vous conseille de ne pas vous presser. Tous ceux qui se pressent sur autorisation écrite test d'intrusion se heurtent au même obstacle.

Si vous avez des questions écrivez-moi, je répondrai au mieux.