Ils nous demandent un « test de sécurité » — en quoi ça consiste exactement et qu'est-ce qu'on attend de nous ?

Envoyez tout de suite un mail à l'équipe sécu de votre client pour leur demander la méthodologie de test qu'ils acceptent et leur modèle de cadrage (scoping). Si vous faites faire le test dans votre coin sans cadrer ils peuvent refuser le rapport pour non-conformité de format.

En général ils font du « Gray Box ». Ils ne demandent pas le code source mais ils veulent des identifiants. Le but c'est de vérifier si un simple employé d'entrepôt peut escalader ses privilèges et accéder aux fonctions admin.

On a fait auditer un produit SaaS similaire l'année dernière. Le test a duré 5 jours ouvrés, ils ont trouvé 1 faille critique et 3 moyennes. Notre équipe de dev a passé environ 25 heures sur les patchs. Une fois le rapport propre validé par le client, le contrat a été signé sans souci.

Le contrat mentionne un organisme indépendant, mais est-ce qu'ils imposent une accréditation TSE ou des certifications internationales spécifiques pour la boîte d'audit ? Faites attention à ce point, sinon le rapport pourrait être invalidé.

Ce qu'il faut préparer avant de lancer le test : 1) La doc de vos API ou le Swagger à jour, 2) Les URL et identifiants de l'environnement de staging, 3) Le numéro d'un référent technique capable d'interrompre le test en cas d'urgence.

quand vous montez le staging pensez bien a purger les vrais noms et numeros des clients mais mettez de la fausse data pour eviter que des donnees sensibles se retrouvent en clair dans les captures d'ecran du rapport.

Bienvenue dans le monde merveilleux des grands comptes. Après le pentest vous aurez droit au questionnaire d'évaluation des risques tiers de 80 pages préparez le café dès maintenant.

Cette approche a un coût, dont on ne parle pas. Les gens défendent l'habitude, pas le processus. La résistance vient de là.

Voilà, désolé si je me suis étendu.

Oui, la situation est exactement ainsi concernant c'est quoi un test de sécurité. Quand on essaie de tout changer en même temps, rien ne prend.

Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Vous avez raison.

La solution qui semble bon marché finit souvent par coûter cher. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

C'est mon avis je ne l'écris pas comme une vérité absolue.

Enregistré.

Je suis d'accord. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Corrigez-moi si je me trompe.

Mes doutes sont levés merci.

ce conseil ne convient pas à tout le monde, je pense. bon le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

bon courage.

C'est une bonne idée d'avoir ouvert ce sujet.

Il y a aussi un aspect mesure à considérer. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Si vous grondez les fausses alertes, plus personne ne signalera rien. Je le note au cas où.

Ce sujet est archivé.