Préparer une mission de test de sécurité autorisée

Définition

La préparation est un exercice de gouvernance et de coordination. Elle rassemble l'inventaire des domaines, IP, applications, environnements, comptes, fournisseurs, prestataires et responsabilités, avec les objectifs visés et les attentes en matière de rapport. Un cadrage bien préparé consigne, à un niveau général, les méthodes permises, les actions interdites, l'adéquation à la production ou à la hors-production, les périodes d'exclusion, la fenêtre de test, les limites d'exploitation sûres, les contacts de supervision, les contacts d'escalade, les règles de communication, les conditions d'arrêt immédiat, le traitement des éléments probants, la minimisation des données et les environnements sensibles exclus. Posséder une entreprise n'autorise pas automatiquement à tester chaque salarié, client, prestataire, plateforme, compte hébergé ou service tiers.

Public concerné

Ce guide de préparation est utile aux équipes qui :

• Doivent coordonner les responsables métier, techniques, fournisseurs, sécurité et prestataires avant de demander une évaluation
• Disposent de systèmes orientés clients, de services hébergés, de comptes cloud ou de fournisseurs qui soulèvent des questions d'autorisation et de dépendance
• Veulent un périmètre plus prêt pour la décision plutôt qu'une vague demande de « tout tester »
• Doivent fixer des attentes pratiques en matière de sécurité, de communication, d'éléments probants et de rapport avant une mission autorisée

Ce qu'il aide à clarifier

Le processus de préparation aide à établir :

• Qui peut autoriser les travaux, qui est responsable de chaque cible, et quelle autorisation écrite ou notification peut encore être nécessaire
• Quels domaines, IP, applications, environnements, comptes, fournisseurs, prestataires et systèmes sensibles sont inclus ou exclus
• Quels objectifs et quelles questions de réussite comptent, avec des méthodes sûres et des attentes réalistes
• Comment les fenêtres de test, périodes d'exclusion, limites, contacts, conditions d'arrêt, éléments probants et la passation doivent fonctionner

Ce qui est inclus

• Une checklist pour les responsables métier et techniques, l'autorisation écrite, l'inventaire des cibles, la coordination avec les fournisseurs et prestataires et l'autorisation des tiers
• Des recommandations sur l'adéquation production/hors-production, les objectifs, les limites, les actions interdites, les périodes d'exclusion, les fenêtres, la supervision, l'escalade, la communication et les conditions d'arrêt
• Des questions sur le traitement des éléments probants et la minimisation des données, y compris les systèmes sensibles et les environnements exclus
• Un plan pratique des attentes en matière de passation et de rapport après les travaux autorisés

Ce qui n'est pas inclus

• Des étapes d'exploitation, des instructions de génération de trafic, des conseils de contournement, des techniques destructrices ou des tactiques d'attaque opérationnelle
• Un conseil juridique ou une affirmation selon laquelle l'autorisation, les contrats, les lois ou les fournisseurs permettent un test particulier
• L'assurance que la préparation élimine les perturbations, le risque ou l'impact opérationnel
• La supposition que la propriété de l'entreprise confère une autorisation sur les systèmes des prestataires, clients, salariés, plateformes ou hébergés

Quand le choisir

Utilisez ce guide lorsqu'une évaluation est envisagée et que les responsabilités ou le périmètre doivent être travaillés avant qu'un prestataire puisse la définir en toute sécurité. Il est précieux avant une revue applicative, des travaux de charge maîtrisés, des tests de résilience ou un exercice guidé par des objectifs. Il accompagne l'autorisation écrite, l'approbation du fournisseur, la revue contractuelle et le conseil juridique qualifié lorsque ceux-ci sont nécessaires. Si l'organisation ne peut pas identifier les responsables, les systèmes ou la décision à éclairer, réglez ces fondamentaux avant de planifier toute activité.

Notre approche

Traitez le périmètre comme un registre d'autorisations vivant plutôt que comme une liste de souhaits techniques. Commencez par les responsables et l'inventaire des cibles ; séparez ensuite les actifs que vous contrôlez de ceux exploités par un fournisseur ou un prestataire. Convenez de la question, de la limite sûre, des modalités de supervision, des contacts et des conditions d'arrêt avant de choisir les dates. Gardez la collecte d'éléments probants proportionnée et réduisez au minimum l'accès aux informations sensibles. Communiquez rapidement les changements si une cible, une condition du fournisseur ou une période d'exclusion métier évolue. Lors de la passation, attendez-vous à un rapport qui distingue le périmètre autorisé, les observations, les limites et le suivi. Avant le début de l'activité, demandez à chaque responsable de confirmer par écrit l'inventaire actuel et la voie d'escalade. Un changement tardif de cible, de fournisseur, de compte, d'environnement ou de période métier doit être traité comme un changement de périmètre, et non comme une exception informelle. La limite autorisée reste ainsi compréhensible pour les équipes opérationnelles comme pour les parties prenantes techniques, et l'on évite toute confusion sur qui peut suspendre les travaux si les conditions changent. Les attentes en matière de rapport doivent être convenues avec autant de soin que les cibles. Décidez qui a besoin d'une synthèse pour la direction, qui a besoin des éléments techniques, comment les informations sensibles seront partagées, quelles observations exigent un contact rapide et qui peut accepter une passation. Ne supposez pas que chaque partie prenante a besoin du même niveau d'accès. Conservez une trace des notifications aux fournisseurs, des références d'approbation et des modifications de la fenêtre, afin que le rapport final puisse décrire fidèlement les conditions dans lesquelles les travaux autorisés se sont déroulés. La préparation doit se conclure par une courte confirmation que tous les responsables nommés comprennent ce qui est inclus, ce qui est exclu et comment une préoccupation sera escaladée. Le périmètre final doit énoncer clairement toute incertitude, afin qu'aucun participant ne confonde une hypothèse de planification avec une autorisation. Il doit aussi indiquer les informations volontairement non communiquées parce qu'elles ne sont pas nécessaires au cadrage initial ou relèvent d'un canal plus restreint. Cette compréhension partagée a souvent plus de valeur que l'ajout d'une cible supplémentaire à un test déjà flou. Avant la mission, vérifiez que la liste des contacts fonctionne pendant la fenêtre prévue et que les équipes métier connaissent la signification d'une pause ou d'une condition d'arrêt. Une simple répétition de la communication peut révéler des attentes contradictoires concernant la disponibilité, l'escalade ou la responsabilité des éléments probants. Elle aide à éviter qu'un problème de coordination courant soit pris pour une autorisation de poursuivre au-delà de la limite convenue.

Foire aux questions

Articles connexes