Tests de sécurité

Qui vient nous voir pour cela

Des organisations dont le dernier rapport de test n’a pas survécu à l’évaluation : pas de réseaux sources nommés, pas de méthodologie, pas de nouveau test, un scan présenté comme un test. Des équipes qui préparent un premier Report on Compliance et veulent que le test interne au niveau réseau soit fait avant le test de segmentation, parce que c’est là que se trouvent les constats qui comptent. Et les clients de nos évaluations qui préfèrent que le test soit cadré par la personne qui le lira.

Ce que nous faisons

1. Le cadrer sur les exigences.

   Le périmètre tel que le document de périmètre le définit, les systèmes critiques à l’intérieur, chaque contrôle de segmentation, chaque réseau hors périmètre comme source, les applications qui touchent aux données de cartes. Le testeur reçoit le document de périmètre et le schéma de segmentation, et on lui dit que le rapport sera lu par un QSA.

2. Le réaliser avec les bonnes personnes.

   Lorsque nous ne réalisons pas les tests nous-mêmes, ils sont exécutés par des partenaires spécialisés avec lesquels nous travaillons, dans notre périmètre et sous notre revue. Vous savez toujours qui fait quoi, et l’indépendance que le standard exige est documentée.

3. Le lire en tant qu'évaluateur.

   Le rapport nous arrive en premier. Nous le vérifions comme le fera une évaluation : périmètre énoncé et conforme, méthodologie nommée, dates dans la période, réseaux sources listés, constats exploitables avec leur gravité, un nouveau test pour chacun. S’il manque quelque chose, c’est corrigé avant que vous ne le voyiez.

4. Expliquer les constats.

   Chaque constat vient avec ce qu’il signifie pour votre environnement et ce qui le ferme, parce qu’un constat n’est jamais une simple ligne dans un rapport. Nous sommes venus à l’évaluation après avoir exploité la sécurité, et cela se voit ici.

Ce que nous ne ferons pas