Le test d'intrusion a révélé 40 vulnérabilités — faut-il acheter un outil pour suivre la remédiation ?

Refusez direct cette licence. Ne vous laissez pas impressionner par le chiffre 40 : traitez d'abord les failles critiques et hautes. En une semaine de dev, vous aurez sans doute réglé 80 % du risque. Le reste des trucs faibles, vous les répartissez tranquillement un par un dans les prochains sprints et voilà.

Dans notre boîte de 20 personnes, on a eu un rapport avec 38 failles l'année dernière. Le consultant a aussi essayé de nous refourguer un soft de ce genre, on a dit non. On a créé un tag spécifique dans notre outil de tickets. En 45 jours, on en a corrigé 34 et on a accepté le risque sur les 4 faibles restantes. Audit validé pour 0 euro de plus.

Que la boîte qui a fait le test propose direct un outil à 6.000 dollars dans la foulée, c'est une technique classique d'upsell. Ils sont sûrement partenaires ou revendeurs du logiciel et touchent une commission sur chaque vente. Pour une boîte de 14 personnes, claquer du budget là-dedans serait un pur gaspillage de ressources.

En l'intégrant à votre système actuel, voici le détail technique auquel faire attention : ne vous contentez pas de dire aux développeurs « corrigez la vulnérabilité X ». Ajoutez dans la description du ticket le score de la faille issu du rapport, l'URL ou la version de la bibliothèque concernée, ainsi que les étapes d'exploitation. Sinon, le dev va dire que c'est corrigé alors qu'il a juste renommé un paramètre en laissant la faille béante.

Est-ce que votre contrat de test inclut une clause de « re-test » (contre-test) ? Si oui quel est le délai ? La plupart des contrats prévoient une période de vérification gratuite de 30 ou 60 jours pour les correctifs. Si vous l'avez, le travail de validation que ferait l'outil peut de toute façon être effectué par le consultant dans le cadre du contrat.

on a regle le truc avec un simple tableur nous. en colonnes on a mis nom de la faille gravite dev assigne et statut. bref un point de 15 min par semaine pour faire le point sur l'avancement et en deux mois c'etait plie. ca sert a rien de payer autant.

Vos clients ou les réglementations ne vous obligent pas à utiliser un outil de suivi des vulnérabilités. Le seul point qui intéresse les auditeurs, c'est de voir que les failles détectées ont été corrigées via un processus documenté et que des preuves de validation technique existent. L'historique de vos tickets actuels couvre largement cette exigence.

L'avis général est plutôt clair : 1) N'achetez pas l'outil à 6.000 dollars, 2) Créez des tâches avec un tag sécurité dans votre outil de gestion de projet actuel, 3) Vérifiez si vous avez droit à un contre-test gratuit dans votre contrat et utilisez-le pour la validation. Un logiciel de plus ne ferait qu'alourdir votre charge de travail.

Séparons les concepts, ils sont souvent confondus. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Bien sûr, cela change si votre situation est différente.

Oui, la situation est exactement ainsi concernant outils de remédiation. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Merci de partager le résultat. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Corrigez-moi si je me trompe.

Je me permets une petite mise en garde. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Commencez par un petit test, ne vous engagez pas sur tout d'un coup. Je le note au cas où.

Il est rare de trouver un texte qui explique les choses aussi clairement. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. Les décisions hâtives finissent par être corrigées six mois plus tard.

Ce que tout le monde fait ne signifie pas que c'est la bonne chose. Corrigez-moi si je me trompe.

Beau travail. Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

La discussion part dans tous les sens, je recentre. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée. Je suis aussi curieux de savoir si d'autres font autrement.

J'aurais une question, sans vouloir m'éloigner du sujet. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Chez moi c'est l'inverse qui s'est passé c'est pourquoi j'écris. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

À votre place, j'irais par cette voie.