On me demande un "pentest / test d'intrusion" — c'est quoi, et est-ce vraiment nécessaire pour une petite boîte comme la nôtre ?

Quand il y a un contrat annuel de 1.800.000 TL sur la table, ne considérez pas un test d'intrusion à 35.000 TL comme une dépense superflue. Les équipes d'audit des grands comptes ne signeront jamais sans ce rapport. Si vous ne le faites pas, ils quitteront la table des négociations et le contrat partira direct chez un concurrent qui s'y plie.

Définissez bien le périmètre (scope) au moment du devis. Pour faire baisser la note, limitez l'audit au nom de domaine du portail web revendeurs et aux endpoints de l'API, en excluant le réseau de vos bureaux ou vos serveurs de messagerie. Il faut impérativement que le test soit mené en mode "boîte grise" (gray box) avec un compte utilisateur revendeur dédié.

L'année dernière, nous avons aussi déboursé 40.000 TL pour pouvoir bosser avec une chaîne d'hypermarchés. Pendant le test, on s'est rendu compte qu'un revendeur pouvait télécharger l'historique des commandes d'un autre en changeant un seul paramètre. Franchement, heureusement qu'on l'a fait : le préjudice commercial et d'image en cas de fuite de données aurait coûté mille fois plus cher.

Les points à vérifier avec le prestataire : 1) Exigez d'inscrire au contrat que l'intervenant possède des certifications en cybersécurité reconnues (TSE ou équivalents internationaux). 2) Demandez que les tests soient faits hors des heures de bureau ou sur un serveur de préprod/miroir pour ne pas bloquer votre base de données. 3) Assurez-vous que la phase de re-test après correction des failles est bien comprise dans le tarif.

Sur le marché, pas mal de boîtes lancent un script automatique et revendent un export brut de 15 pages en anglais en guise de rapport. Si vous payez 35.000 TL pour un simple scan générique, l'équipe sécu d'en face va le retoquer illico. Demandez clairement au prestataire combien d'heures de tests logiques manuels sont prévues.

surrtout n'envoie pas le premier rapport au client et il y aura forcément des failles critiques en rouge au début. ton dev doit d'abord corriger ces failles, la boite de sécu vérifie et valide et c'est seulement la synthèse managériale propre qui en découle que tu donnes au client.

L'exigence d'un audit de sécurité indépendant imposée par les grands comptes relève du respect de la législation KVKK et des normes de gestion de la sécurité de l'information. Le coût de ce test constitue une garantie opérationnelle tout à fait raisonnable au regard des risques de sanctions administratives et de dommages-intérêts commerciaux encourus en cas de violation de données.

Transmettez le périmètre exact par écrit à l'entreprise qui propose 35.000 TL et signez le contrat incluant le re-test. Dans la foulée, envoyez un mot officiel à votre client pour lui dire : "Le test d'intrusion est planifié, notre rapport vous sera transmis sous 10 jours". Ça permettra de ne pas bloquer le calendrier de signature du contrat côté client.

Je suis une petite entreprise laissez-moi expliquer de mon point de vue. du coup la sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Beau travail.

Il y a un piège ici, je ne pouvais pas ne pas le mentionner. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Mon regard a changé après avoir vécu cela. Le temps que vous mettez à détecter un problème détermine directement son coût.

L'erreur commise du côté de qu'est-ce qu'un pentest test d'intrusion est généralement réversible mais coûteuse.

Je vous conseille de ne pas vous presser. Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

Corrigez-moi si je me trompe.

Vous avez raison, je suis aussi passé par là. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Ce qui est écrit correspond exactement à ce que nous avons vécu. L'erreur commise du côté de qu'est-ce qu'un pentest test d'intrusion est généralement réversible, mais coûteuse.

La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

je suis du même avis. si vous ne formalisez pas cela par écrit dès le départ des disputes éclateront plus tard.

bien sûr, cela change si vootre situation est différente.

Merci de partager le résultat. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

exactement et ce n'est pas si connu que ça mais ce que tout le monde fait ne signifie pas que c'est la bonne chose.