Faut-il demander un exemple de rapport pour un devis de pentest et que doit-il contenir ?

Se cacher derrière un accord de confidentialité, c'est l'excuse classique de ceux qui bâclent le travail. N'importe quelle boîte sérieuse a toujours sous le coude un rapport type ou anonymisé aux couleurs de son entreprise.

Ne vous laissez pas non plus impressionner par un rapport de 50 pages. Regardez le contenu : si vous avez des pages entières de définitions web génériques et d'explications sur des failles mineures de bibliothèques, c'est peut-être aussi du bête copier-coller de scanner.

L'an dernier on a payé 40.000 TL pour notre premier pentest : sur 60 pages, 50 n'étaient que de la doc générique d'internet. On a contesté mais comme le périmètre n'était pas assez précis au contrat, on a été obligés de payer.

une fois les failles identifiées dans le rapport, combien de temps ça prend à l'équipe de dev pour corriger et est-ce qu'on doit repayer pour le re-test ?

Ce qu'il faut absolument exiger dans le rapport : 1) La liste des éléments hors périmètre, 2) La logique de notation CVSS, 3) Le calendrier et les conditions du test de vérification (re-test).

Lors des audits, vos clients grands comptes ne regarderont pas seulement l'existence du rapport, mais aussi les certifications et accréditations reconnues du cabinet et de ses experts. Précisez bien ce point dans votre cahier des charges.

La boîte qui refuse de montrer un rapport va juste lancer un outil auto et faire un export PDF le lendemain... bref ne prenez aucun risque, jouez pas avec ça franchement.

On en parle beaucoup, mais chez nous, cela ne s'est jamais passé ainsi. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard. J'espère que cela vous sera utile.

J'écris cela pour éviter que vous ne fassiez la même erreur. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

J'espère que cela vous sera utile.

Beau travail. bref ce que tout le monde fait ne signifie pas que c'est la bonne chose.

C'est mon avis je ne l'écris pas comme une vérité absolue.

Je suis d'accord. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

À votre place, j'irais par cette voie.

Vous avez raison.

je suis d'accord, j'aimerais même souligner ce point puis les décisions hâtives finissent par être corrigées six mois plus tard.

si vous obtenez trois réponses différentes sur un sujet, la question est mal posée puis j'espère que cela vous sera utile.

Je vais résumer ce qui a été dit jusqu'ici. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Oui, la situation est exactement ainsi concernant exemple de rapport de test d'intrusion. Une sauvegarde non testée n'est pas une sauvegarde.

C'est mon avis je ne l'écris pas comme une vérité absolue.

Chez nous, ça s'est passé comme ça. Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Vous avez raison, je suis aussi passé par là. Avant de décider, regardez quelles données vous avez en main.

J'espère que cela vous sera utile.