Un devis pour un scan de vulnérabilités et un autre pour un test d'intrusion, quelle est la différence et lequel nous faut-il ?

Imaginez les choses ainsi : le scan de vulnérabilités, c'est un robot qui fait le tour du bâtiment avec des jumelles pour voir si une fenêtre est ouverte. Parfois, il confond un reflet avec une vitre ouverte. Le test d'intrusion, c'est un serrurier expert qui tente réellement de crocheter la serrure pour entrer. Les grands comptes veulent toujours le rapport du serrurier.

On a fait exactement la même erreur il y a deux ans. Pour un deal à 50 000 USD, on a envoyé un rapport de scan auto à 1 200 USD. Le RSSI du client l'a rejeté en 10 minutes en disant : « Ce n'est pas un pentest, c'est juste un export de scanner », bloquant la vente pendant deux mois. Au final, on a dû faire un vrai test complet et payer 6 000 USD.

Vérifiez les termes exacts dans le questionnaire de sécurité (security questionnaire) de votre client. S'il est écrit « penetration test report performed by an independent third party », oubliez direct l'offre à 1 500 USD. Leur envoyer un scan de vulnérabilités ne fera que vous faire perdre du temps.

La boîte qui facture le scan à 1 500 USD va juste lancer un outil open source contre votre serveur et coller son logo sur le PDF généré. Vous pouvez faire exactement la même chose vous-mêmes en deux heures, ne dépensez surtout pas cet argent.

Dans la gestion des risques grand compte, l'évaluation des tiers est très stricte. Comme votre SaaS RH va héberger des données personnelles de leurs salariés, les équipes de conformité n'accepteront comme preuve d'audit valable que la synthèse managériale et le rapport de remédiation issus d'un pentest manuel.

négociez avec la boîte à 6.500 dollars ils peuvent descendre autour de 5.500 puis mais prenez clairement le test d'intrusion l'autre option fait vraiment amateur face au client.

PS : c'est demandé plus bas, j'ai répondu dans le deuxième message.

Quand vous négocierez avec la deuxième boîte, faites impérativement ajouter une clause de re-test au contrat. Une fois le test terminé, ils vous fourniront la liste des failles, vous les corrigerez et vous obtiendrez un rapport final propre. C'est précisément ce rapport vierge que vous devez présenter au client.

Je ne suis pas d'accord sur ce point. Plus il est difficile de revenir sur une décision plus il faut la prendre lentement.

Je le note au cas où.

je suis d'accord.

Je suis d'accord en partie, pas en partie. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

Bien sûr, cela change si votre situation est différente.

Je n'ai aucune expérience en scan de vulnerabilites test d'intrusion, c'est pourquoi je pose la question. Tous ceux qui se pressent sur scan de vulnerabilites test d'intrusion se heurtent au même obstacle.

À votre place, j'irais par cette voie.

Cette approche a un coût, dont on ne parle pas. Si la double authentification est activée un mot de passe volé seul ne suffit pas.

Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Pourriez-vous préciser un peu ? Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir. Corrigez-moi si je me trompe.

Je trouve difficile d'être aussi catégorique côté scan de vulnerabilites test d'intrusion. Quand on décide sans mesurer, on revient toujours au même point.

Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard. À votre place, j'irais par cette voie.

Merci, c'était exactement la réponse que je cherchais. Le temps que vous mettez à détecter un problème détermine directement son coût.

Voilà, désolé si je me suis étendu.

Merci pour votre retour.

Je suis une petite entreprise, laissez-moi expliquer de mon point de vue. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Bon courage.

Je suis d'accord.