Comment transmettre les résultats d'un pentest aux devs — quels documents et quel ordre de priorité ?

Le score CVSS du rapport ne reflète pas toujours le risque réel. Par exemple, une XSS sur un back-office interne peut avoir un score élevé, alors qu'une politique de mot de passe trop souple sur la page de login publique aura un score moyen. Traitez d'abord ce qui est directement exploitable depuis l'extérieur et permet d'exfiltrer de la data.

Collez systématiquement les étapes de reproduction complètes dans chaque ticket. Si le dev ne peut pas reproduire la faille en local, il ne pourra pas la fixer et fermera le ticket avec un simple « marche chez moi ».

L'année dernière, j'ai transféré le PDF de 110 pages par mail à toute l'équipe. Deux mois plus tard, lors de l'audit de suivi, rien n'avait bougé parce que chacun pensait que c'était l'autre qui s'en occupait. Si on ne crée pas de tickets assignés individuellement, personne ne lit le rapport.

balancer un pdf aux devs c'est la pire idée possible. franchement personne va se taper 80 pages de baratin sécu. créez des tickets avec l'url et le paramètre et basta.

Ne faites pas une confiance aveugle aux rapports des prestataires non plus. Pour gonfler le volume de pages, ils mettent parfois en sévérité « haute » une dizaine de broutilles sorties d'un scan auto (genre divulgation de version logicielle) qui vont juste faire perdre du temps aux devs.

Vous devriez formaliser une grille de SLA de remédiation dans votre charte sécu interne. Par exemple : correction sous 3 jours pour le critique, 15 jours pour le niveau élevé, et 45 jours pour le niveau moyen.

on a un pentest prévu bientôt nous aussi et genre une fois que les devs ont patché, la boîte de sécu revérifie gratuitement ou ils refacturent une prestation ?

Mettez les devs et les auditeurs dans la même salle pour un point d'une demi-journée, tous les points seront clarifiés d'un coup.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. Plus il est difficile de revenir sur une décision plus il faut la prendre lentement.

J'espère que cela vous sera utile.

Je vous conseille de ne pas vous presser. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

il y a un point que je ne comprends pas. prendre une mesure sans faire d'inventaire c'est laisser une porte ouverte sans le savoir.

c'est mon avis, je ne l'écris pas comme une vrité absolue.

merci de partager le résultat.

Nous avons aussi bloqué au même endroit à une époque. Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Bon courage.

Je partage mon expérience. du coup prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

Bien sûr, cela change si votre situation est différente.

Il faut y aller étape par étape. Quand on essaie de tout changer en même temps, rien ne prend.

Je suis d'accord, j'aimerais même souligner ce point... du coup le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Ce qui nous faisait perdre le plus de temps c'était l'absence de clarté sur qui prenait les décisions. franchement corrigez-moi si je me trompe.

Il faut y aller étape par étape. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Je le note au cas où.

C'est noté, merci. L'erreur commise du côté de restitution résultats pentest est généralement réversible, mais coûteuse.