Nous sommes une PME, le test d'intrusion est-il imposé par la loi ou facultatif ?

Quand le contrat client est sur la table, peu importe ce que dit la loi : sans ce rapport, vous ne signerez pas l'appel d'offres ou le contrat. Pour vos devis demandez aux prestataires de se limiter aux IP externes et à l'application web. En excluant le test du réseau interne pour le moment, vous pourrez ramener la facture de 65 000 TL vers les 35 000-40 000 TL.

On a vécu la même chose l'an dernier avec notre équipe de 30 personnes. À cause du cahier des charges d'un client, on a été obligés de lâcher 50.000 TL pour le faire. Pendant le test, on a découvert que le port de notre base de données était ouvert vers l'extérieur sans restriction et qu'un ancien endpoint d'API tournait sans aucune authentification. Au début on trouvait que c'était une dépense inutile, mais le préjudice en termes d'image qu'auraient pu causer ces failles aurait coûté infiniment plus cher.

Le marché est inondé de centaines d'intermédiaires qui vous font tourner un scanner automatique pour 15.000 TL et vous balancent un rapport de 80 pages. Si l'équipe sécu de votre client s'y connaît un minimum, elle va direct jeter le rapport à la poubelle et vous aurez payé pour rien. Assurez-vous impérativement que la prestation inclut des vérifications manuelles et des scénarios d'intrusion réels.

Vous pouvez aborder la question sous quatre angles majeurs : 1) En l'absence d'obligation sectorielle directe, il n'y a pas d'obligation légale stricte. 2) Cela étant considéré comme une mesure technique dans le cadre du KVKK, ne pas avoir réalisé de test sera retenu contre vous en cas de fuite de données. 3) Les grands comptes certifiés ISO 27001 peuvent l'imposer comme clause contractuelle. 4) Si vous souhaitez souscrire une assurance cyber-risques, cela constituera un prérequis pour la police.

d'ailleurs quand vous aurez le rapport ne l'envoyez pas en entier au client puis demandez un résumé pour la direction (executive summary) à la boîte de sécu. donner au client tous les détails techniques avec la liste des failles et les étapes d'exploitation ça crée d'autres risques de sécurité.

Dans le cadre des audits fournisseurs, vous êtes soumis à la grille d'évaluation des risques de la partie adverse. Pour protéger vos intérêts, nous vous recommandons de signer un accord de confidentialité préalable et d'exiger une lettre de cadrage stipulant expressément que les constats d'audit demeureront strictement limités au périmètre convenu.

Est-ce que votre client exige une norme TSE spécifique ou une certification particulière dans le rapport ? Si un simple audit réalisé par un tiers indépendant suffit, vous pourriez limiter le périmètre au seul panel web pour faire baisser la facture, vous avez bien vérifié le cahier des charges ?

Au départ tout le monde trouve que c'est une dépense absurde mais c'est un cap obligé pour tout éditeur B2B qui veut monter en gamme. bon une fois qu'on l'a fait une première fois et qu'on a pigé la méthode les années suivantes ça se passe beaucoup plus vite et sans stress ne vous laissez pas impressionner.

Ce qui est écrit correspond exactement à ce que nous avons vécu. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Bien sûr, cela change si votre situation est différente.

Il y a aussi un aspect mesure à considérer. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Sujet très actuel. Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

enregistré. prender des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

si vous avez des questions, écrivez-moi je répondrai au mieux.

C'est exactement ça. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Je suis aussi curieux de savoir si d'autres font autrement.

J'ai été soulagé en lisant cette réponse donc ce n'est pas seulement mon cas. du coup l'erreur commise du côté de pme test d intrusion obligatoire est généralement réversible mais coûteuse.

Mon regard a changé après avoir vécu cela. Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

Voilà, désolé si je me suis étendu.

Trois points à vérifier lors de cette opération. Si vous obtenez trois réponses différentes sur un sujet la question est mal posée.

Si vous avez des questions écrivez-moi je répondrai au mieux.

Je me pose aussi la question.

Si j'ai bien compris, vous dites que : Le temps que vous mettez à détecter un problème détermine directement son coût.

Corrigez-moi si je me trompe.