On a reçu le rapport de pentest mais on n'y comprend rien — ça raconte quoi, on doit regarder quoi ?

L'argument de votre admin système disant que "le système tourne" est trompeur. Qu'une appli web fonctionne et qu'elle soit sécurisée sont deux choses totalement différentes. Par exemple, avec une faille d'injection SQL, le site continue de prendre les commandes sans souci, mais un attaquant peut extraire l'intégralité de votre base clients et soldes avec une simple requête dans l'URL. Regardez impérativement les preuves fournies dans le rapport.

réaction classique de l'admin sys malheureusement, il dit que c'est exagéré pour pas avoir de taf en plus puis du coup ce que doit faire la direction c'est balancer les lignes "critique" et "élevé" dans un excel et faire signer le responsable avec une date butoir. le reste c'est que de la perte de temps.

edit : j'ai écrit depuis mon téléphone, désolé pour les fautes.

Appelez la boîte de sécu qui a fait le test et demandez une réunion de restitution d'une heure si c'est prévu au contrat. Mettez votre gars de l'IT dans la boucle et demandez cash au pentesteur : "Est-ce qu'on peut faire tomber notre site B2B ou voler les données clients avec cette faille ?" Le débat s'arrêtera là.

Parfois les boîtes de sécu balancent juste un copier-coller brut de leurs scanners automatiques pour faire un pavé de 40 pages. Dans ce cas y a plein de faux positifs. C'est peut-être pour ça que votre gars de l'IT tique. Vérifiez si chaque point du rapport contient une vraie preuve d'exploitation faite à la main.

La marche à suivre pour passer à l'action : 1) Fixez un calendrier d'urgence de 7 jours pour les failles critiques. 2) Testez les correctifs en environnement de test, jamais en prod directe, pour vérifier que le tunnel de commande ne saute pas. 3) Utilisez votre droit au retest gratuit prévu au contrat pour faire valider la clôture des failles.

Pour avoir géré des audits pendant des années : le rapport pose le diagnostic, mais le vrai boulot c'est d'appliquer le traitement. Un informaticien seul peut avoir du mal à gérer le quotidien tout en colmatant des failles web complexes. Si besoin, faites épauler votre technicien par l'agence externe qui a développé le site.

pour ce qu'ils appellent le retest, il faut repayer la boîte de cybersécurité de zéro ? j'ai rien vu là-dessus dans notre devis d'habitude c'est compris dans le prix ou pas ?

Je suis d'accord. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Comment avez-vous résolu ce point ? Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard. Je le note au cas où.

La réponse ci-dessus va droit au but. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Trois avis différents sont sortis, ils se complètent tous. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir. Bien sûr, cela change si votre situation est différente.

Vous avez raison.

Absolument. Si j'ajoute quelque chose : Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

La solution qui semble bon marché finit souvent par coûter cher. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

Bien sûr, cela change si votre situation est différente.

J'ai vécu la même chose.

La discussion part dans tous les sens, je recentre. Tous ceux qui se pressent sur rapport de pentest définition se heurtent au même obstacle.

La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort. Voilà, désolé si je me suis étendu.

Vous avez raison. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Si c'est une première, commencez petit, l'échelle viendra plus tard. J'espère que cela vous sera utile.

Si vous partez dans cette direction, réglez cela dès le départ. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

À votre place, j'irais par cette voie.