Appel d'offres public : exigence de la circulaire sur les tests d'intrusion, à notre échelle qu'est-ce qu'on doit fournir ?

Les commissions d'appels d'offres sont intraitables sur le respect de la circulaire. Sans le cachet d'un organisme agréé TSE et les numéros d'enregistrement des auditeurs certifiés dans le rapport, votre dossier sera recalé direct à l'évaluation technique. Ne soumettez surtout pas votre rapport de freelance.

Le mois dernier, nous avons fait des devis auprès de trois boîtes agréées TSE pour un appel d'offres similaire. Pour deux applis web et un seul serveur, on a eu des propositions à 55.000 TL, 75.000 TL et 90.000 TL. S'il reste moins de 15 jours avant l'échéance, les prestataires peuvent appliquer une majoration d'urgence.

Copiez la clause du cahier des charges telle quelle et transmettez-la à au moins deux sociétés agréées TSE. Elles vous enverront un formulaire de cadrage de périmètre. En remplissant le formulaire, si vous écartez les modules superflus, vous réduirez à la fois le délai du test et la facture.

Votre logiciel sera-t-il déployé sur les serveurs locaux du datacenter de l'administration ou délivré en mode SaaS / cloud ? Sur un déploiement on-premise, une analyse de code source et un test applicatif suffisent parfois, alors qu'en hébergement externe, l'audit d'infrastructure est systématiquement exigé.

Sur le marché, beaucoup affichent le logo TSE sur leur site alors qu'ils font juste de la sous-traitance. Avant de signer, vérifiez par vous-même si la boîte figure bien dans la liste active des organismes de test d'intrusion sur le site de TSE, ne laissez pas de marge à des intermédiaires.

Lors de notre premier appel d'offres public, on ne connaissait pas la procédure et on a soumis un rapport fait par une simple boîte de cybersécurité. La commission a rejeté notre offre pour non-conformité aux normes documentaires. Même pas moyen de contester : 30.000 TL jetés par la fenêtre et 6 mois de préparation partis en fumée. Sur les marchés publics, la règle s'applique à la lettre.

L'exigence d'un organisme certifié TSE est absolue ; veillez aussi à ce que la date du test indiquée sur le rapport respecte la période de validité rétroactive fixée dans le cahier des charges (généralement 6 ou 12 derniers mois).

Vous avez raison. Prendre une mesure sans faire d'inventaire c'est laisser une porte ouverte sans le savoir.

À votre place j'irais par cette voie.

Ma question va paraître un peu novice, désolé d'avance. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

Je suis aussi curieux de savoir si d'autres font autrement.

Sujet très actuel. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

je vais expliquer comment c'est fait en pratique. genre le fait que la sauvegarde soit accessible sur le même réseau et avec la même identitté en fait une cible potentielle.

j'espère que cela vous sera utile.

Vous avez raison.

J'ai travaillé longtemps sur ce sujet. Essayer de faire cela seul est la voie la plus coûteuse.

C'est confirmé par l'expérience.

je suis d'accord j'aimerais même souligner ce point mais aucun processus sans suivi ne s'améliore car vous ne savez pas quoi corriger.

si le chemin de notification est long la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement puis à votre place j'irais par cette voie.

Je suis d'accord.

Je n'ai aucune expérience en circulaire test d'intrusion c'est pourquoi je pose la question. Ce qui nous faisait perdre le plus de temps c'était l'absence de clarté sur qui prenait les décisions.

Bon courage.

il y a un piège ici je ne pouvais pas ne pas le mentionner puis du coup la réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

j'espère que cela vous sera utile.

C'est une bonne idée d'avoir ouvert ce sujet.