Un gros client exige un test d'intrusion avant signature, comment définir le périmètre ?

Les auditeurs des grands comptes repèrent direct les rapports générés par des outils automatiques. S'il n'y a pas de résumé managérial, de référence méthodologique claire et d'historique de remédiation des failles, le client rejettera le dossier. N'essayez pas de faire des économies de bouts de chandelle au risque de perdre le deal.

Demandez une copie écrite du cahier des charges de sécurité de votre client. La plupart des structures ont une grille d'évaluation standard. Transmettre ce document aux prestataires en cybersécurité vous évitera de facturer des prestations hors périmètre.

Pour fixer le scope avec les prestataires, précisez-leur bien ces 3 points : 1) Le nombre de rôles utilisateurs (admin, revendeur, standard). 2) Le volume exact d'endpoints API exposés. 3) Si le test se fait en prod ou sur un environnement de staging iso-prod.

On est une équipe de 18 personnes à Valence. Un client similaire a validé un pentest qu'on a payé autour de 4.000 Euro. L'audit a duré 4 jours, il y avait 2 failles élevées. Notre équipe les a corrigées en 10 jours et la boîte de sécu a mis à jour le rapport gratuitement. Le client a signé deux jours plus tard.

Ceux qui vous demandent 8.500 Euro ont sans doute inclus toute votre infra cloud et le réseau de vos bureaux. Aucun intérêt de faire auditer votre réseau local d'entreprise s'il n'héberge pas les données du client. Le test doit se cantonner strictement au flux de données prévu dans le contrat de vente.

Ne faites surtout pas tourner l'audit sur la base de données de production. Montez un environnement de staging identique à la prod avec des données anonymisées/factices. Pendant les tests, il peut y avoir des blocages de tables ou des suppressions inattendues, ne risquez pas d'interrompre votre activité.

fuyez les boites qui promettent de boucler ca en deux jours. ils vont juste lancer un scanner auto et exporter un pdf. le client pro va le cramer direct et vous demander de recommencer.

edit : j'ai écrit une erreur ci-dessus, désolé.

65.000 Euro par an c'est un super contrat félicitations. 3.000-4.000 Euro d'investissement sécu pour ce volume de deal c'est tout à fait cohérent. franchement en plus, ce rapport vous servira d'argument de réassurance pour vos prochains prospects grands comptes.

Il y a aussi un aspect mesure à considérer. Quand on essaie de tout changer en même temps, rien ne prend.

Bon courage.

Exactement et ce n'est pas si connu que ça. bref les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Je me pose aussi la question.

Ce sujet est archivé.

Séparons les concepts, ils sont souvent confondus. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

Aucun processus sans suivi ne s'améliore car vous ne savez pas quoi corriger.

beau travail et bon tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

j'espère que cela vous sera utile.

Nous avons aussi bloqué au même endroit à une époque. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

J'aimerais poser une question. Si vous grondez les fausses alertes plus personne ne signalera rien.

J'espère que cela vous sera utile.

Chez moi, c'est l'inverse qui s'est passé, c'est pourquoi j'écris. Essayer de faire cela seul est la voie la plus coûteuse.

Tout va bien les trois premiers mois les problèmes arrivent au quatrième. Je le note au cas où.

Laissez-moi détailler l'aspect technique. Si vous ne formalisez pas cela par écrit dès le départ des disputes éclateront plus tard.