Notre client veut ajouter une clause d'audit de sécurité au contrat, ça veut dire quoi exactement ?

Avant de négocier avec le client, il faut absolument clarifier 3 points : 1) Est-ce qu'ils veulent un scan de vulnérabilités techniques ou un audit orienté certification ? 2) Qui choisit l'auditeur et qui règle la facture ? 3) En cas de failles détectées, quel est le délai accordé pour patcher et quel est l'impact sur le calendrier de mise en prod ? Si vous ne verrouillez pas ces trois éléments dans le contrat, le projet sera bloqué.

Ne refusez pas le contrat d'emblée, mais cadrez bien la phrase. Faites ajouter une mention du type « test d'intrusion applicatif d'un périmètre raisonnable défini avec le client, limité à une fois par an maximum ». Proposez même que les frais d'audit de la première année soient pris en charge par le client ou ajoutés à la facture des 55.000 dollars. En général, les achats acceptent ce genre d'arrangement.

On a eu exactement le même cas sur un contrat à 40.000 dollars avec une boîte basée à New York. On a mandaté une équipe de testeurs indépendants pour faire un pentest gray box ciblé uniquement sur les API et le dashboard. Ça a pris 8 jours ouvrés, on a payé 4.200 dollars. Il y avait 2 failles moyennes dans le rapport qu'on a corrigées en 3 jours, on leur a transmis le rapport final et ils ont validé direct.

Quelles données allez-vous héberger sur le système ? Est-ce que vous touchez à des données réglementées comme des cartes bancaires, des données de santé ou des données RH sensibles ? Si vous ne stockez que des données logistiques opérationnelles et des itinéraires, le service conformité du client peut très bien se contenter d'un simple questionnaire de sécurité standard. Vous avez essayé de leur soumettre votre propre doc de sécurité infra ?

c nous est arrive aussi c une clause standard qu'ils foutent dans tous leurs modeles de contrat. on les a appeles pour verifier ils savaient meme pas trop eux memes au final il fallait juste remplir leur questionnaire de securite interne et payez pas un audit externe hors de prix pr rien demandez d'abord par ecrit ce qu'ils veulent exactement.

Tout le monde dit de faire un pentest pas cher à l'arrache, mais ce n'est pas si simple. Si l'équipe IT du client est pointilleuse, ils vont éplucher le format du rapport et vérifier les certifications du cabinet d'audit. Si vous leur balancez un rapport de scan automatique à 1.000 dollars trouvé en panique sur le net, vous allez griller votre crédibilité. Ne sabotez pas votre image pro en voulant trop réduire la voilure.

La clause de droit d'audit est une pratique courante dans les contrats grands comptes. Néanmoins, l'exercice de ce droit doit obligatoirement être encadré. Je vous conseille de formaliser un avenant stipulant que l'audit sera effectué uniquement pendant les heures ouvrées, sans perturbation des activités opérationnelles, par un tiers indépendant soumis à un accord de confidentialité, et en précisant la prise en charge financière des coûts générés.

mais du coup pendant cet audit est-ce qu'on est obligés de filer le code source au client ou à la boîte qui fait l'audit ? niveau propriété intellectuelle, est-ce qu'il y a un risque que notre code fuite ou alors le système est juste testé depuis l'extérieur ?

exact. la plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

si vous avez des questions écrivez-moi, je répondrai au mieux.

La discussion part dans tous les sens, je recentre. Une sauvegarde non testée n'est pas une sauvegarde.

C'est confirmé par l'expérience.

J'ai vécu la même chose.

il y a un ponit que je ne comprends pas. ce que tout le monde fait ne signifie pas que c'est la bonne chose.

voilà désolé si je me suis étendu.

Beau travail... Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Si vous écrivez le résultat ici cela aidera aussi d'autres personnes.

Trois avis différents sont sortis, ils se complètent tous. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Corrigez-moi si je me trompe.

Je suis d'accord.

Exact.

La solution qui semble bon marché finit souvent par coûter cher. Quand on essaie de tout changer en même temps, rien ne prend.

Sujet très actuel.