On parle de techniques de tests d'intrusion — lesquelles doivent figurer dans notre devis ?

Demandez le cahier des charges de l'audit ou la checklist écrite à votre client. La plupart des grands comptes ne demandent un rapport que sur les actifs exposés à l'extérieur. Si l'ingénierie sociale n'est pas spécifiée noir sur blanc, validez le devis en ne retenant que le réseau externe et le portail web.

On a eu le même cas l'an dernier pour notre boîte de production de 40 salariés. On a fait retirer l'ingénierie sociale : le devis initial de 75 000 TL a été révisé à 40 000 TL pour le réseau externe et le portail. L'auditeur a validé le rapport sans faire aucune remarque.

Demandez bien si le test applicatif web inclut des vérifications manuelles selon le standard OWASP. S'ils se contentent de lancer un scan automatique et de coller des captures d'écran, le test ne vaut rien techniquement et l'auditeur risque de refuser le rapport pour manque de consistance.

Votre portail de suivi est hébergé sur un serveur dans vos bureaux ou sur un cloud externe ? Est-ce qu'il stocke des données personnelles de vos clients ou des factures ? Ces éléments changent directement la profondeur du test externe et les méthodes à employer.

La ligne ingénierie sociale sert surtout à gonfler la facture. Payer un supplément pour envoyer un mail de phishing à trois salariés et conclure qu'ils ont cliqué ne sert à rien, c'est de la formation, pas du pentest utile pour votre audit.

Dites à la boîte qui vous fait un devis trop cher de vous donner un chiffrage détaillé uniquement pour les tests de réseau externe et d'application web. Avec un devis ligne par ligne, vous verrez direct les coûts inutiles et vous pourrez faire le tri selon votre budget.

nous aussi au début on voulait tout faire, mais après on a dû héberger les experts en sécu pendant deux jours au bureau pour les tests de réseau interne mais franchement si c'est pas obligatoire, n'allez pas si loin pour ne pas perturber votre travail au quotidien prouvez juste que votre porte d'entrée est bien verrouillée et ça suffit largement.

La conclusion de cette discussion est claire : si le client n'a pas expressément demandé de tests de réseau interne ou de sensibilisation du personnel, inclure uniquement les tests sur le portail web et le réseau externe dans votre devis est largement suffisant. Vérifiez bien le cahier des charges avant d'allouer du budget à des techniques supplémentaires.

Je suis d'accord, j'aimerais même souligner ce point. Le temps que vous mettez à détecter un problème détermine directement son coût.

C'est confirmé par l'expérience.

Je vais résumer ce qui a été dit jusqu'ici. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

enregistré.

J'ai été soulagé en lisant cette réponse, donc ce n'est pas seulement mon cas. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

À votre place j'irais par cette voie.

Mes doutes sont levés, merci. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Je suis intéressé.

Merci c'était exactement la réponse que je cherchais. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

N'hésitez pas à demander celui qui ne demande pas paie toujours plus cher. J'espère que cela vous sera utile.

Vous avez raison. La plupart des incidents ne viennent pas d'une faille mais d'un mot de passe divulgué.

Tout va bien les trois premiers mois les problèmes arrivent au quatrième.

Je suis d'accord, j'aimerais même souligner ce point. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Je vais essayer.