Le scan de vulnérabilités figure dans le devis mais je n'y comprends rien : c'est quoi et c'est suffisant ou le pentest est obligatoire ?

Voyez le scan comme ça : un agent de sécurité qui fait le tour du bâtiment et vérifie de l'extérieur si toutes les portes et fenêtres sont fermées, c'est le scan de vulnérabilités. Le pentest c'est qu'il entre par la fenêtre non fermée et essaie d'ouvrir le coffre sur le bureau. Le scan du devis va probablement faire un contrôle des ports et services contre une base de données toute prête.

Nous pour notre site de distribution en gros à Rome on a payé 1.100 EUR l'an dernier pour lancer un scan de vulnérabilités. Le premier rapport a sorti pas moins de 34 failles, dont 6 critiques qui venaient d'un vieux plugin de serveur. On a fait les mises à jour, au trimestre suivant le nombre de failles critiques est tombé à zéro. Ça nous a été très utile.

Avant d'accepter le devis demandez à la boîte : 'Le rapport issu du scan vous me le transmettez en PDF brut, ou est-ce qu'une heure de conseil est incluse pour qu'on s'assoie avec notre responsable IT et qu'on priorise les failles à fermer ?' S'ils balancent juste un rapport automatique et se cassent, ne payez pas.

Les scans de vulnérabilités automatiques génèrent beaucoup de 'false positive', c'est-à-dire de fausses alertes. Ils peuvent présenter comme risque élevé même une config d'en-tête mineure qui ne crée aucun danger. Si dans votre équipe personne ne peut lire ce rapport et trier ce qui est réel de ce qui est anodin, le rapport vous reste entre les mains.

moi jpense que si tu stockes pas d'infos de carte sur le portail le pentest c'est une dépense inutile pour le moment puis du coup faire des scans réguliers et pas zapper les mises à jour serveur ça sauve déjà 90% des petites boîtes.

Conformément à la réglementation italienne et européenne sur la protection des données, vous avez l'obligation de prendre des mesures techniques pour la sécurité des données commerciales de vos clients. Faire réaliser des scans de vulnérabilités réguliers et archiver les rapports constitue une base officielle valable qui prouve votre effort de sécurité proactif lors d'un éventuel contrôle des données.

Les plans techniques hébergés sur votre portail vous appartiennent ou ce sont les créations privées de vos clients ? Si vous hébergez des créations déposées qui relèvent du secret commercial de vos clients, l'un d'eux pourrait exiger par contrat un test d'intrusion une fois par an, vous avez vérifié vos contrats ?

Pas besoin de se prendre la tête prenez le pack à 1.200 EUR sans casser votre budget mais clarifiez aussi le boulot de fermeture des failles du rapport avec la même équipe. La première année qu'ils remettent le système d'aplomb l'an prochain si ça grandit vous penserez au pentest.

Ce sujet est archivé.

chez nous aussi.

Nous avons vécu presque la même chose l'année dernière. Si l'autorisation et le périmètre ne sont pas écrits ne lancez pas ce test.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Pensez-vous que cela fonctionne à toutes les échelles ? Tous ceux qui se pressent sur scan de vulnérabilités se heurtent au même obstacle.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Exact.

Trois avis différents sont sortis, ils se complètent tous. bon ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Si vous obtenez trois réponses différentes sur un sujet la question est mal posée.

Je vais raconter ce qui m'est arrivé, ça pourrait vous servir. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Je ne suis pas d'accord sur ce point. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

Bon courage.

Il est rare de trouver un texte qui explique les choses aussi clairement.

désolé, mais ce n'est pas vrai dans tous les cas. l'erreur commise du côté de scan de vulnérabilités est généraalement réversible, mais coûteuse.

c'est mon avis je ne l'écris pas comme une vérité absolue.