1. Déterminer ce que vous souhaitez sécuriser
Le premier réflexe consiste à identifier les systèmes concernés : une application web, une API, un serveur exposé, un annuaire d’entreprise ou un ensemble d’actifs internes. Le périmètre d’un test d’intrusion n’a pas besoin de couvrir tout votre système d’information pour être utile. Selon votre besoin, consultez aussi nos pages pentest d’infrastructure et pentest Active Directory.
Demandez-vous quels services sont les plus importants pour l’activité, quelles données ils manipulent et quel est l’objectif du contrôle. Cette réflexion aide à choisir un périmètre cohérent avec votre budget et votre calendrier.
2. Identifier les bonnes personnes
Un test d’intrusion concerne plusieurs fonctions : propriétaire de l’application, exploitation, responsable informatique, sécurité et parfois hébergeur ou prestataire technique. Il est important de pouvoir valider les autorisations et de disposer d’un contact joignable en cas d’incident ou de constat critique.
3. Préparer les accès et les environnements
Pour un pentest applicatif authentifié, plusieurs comptes représentatifs des rôles réels peuvent être nécessaires. Précisez si les tests sont prévus en préproduction ou sur un environnement en service, ainsi que les restrictions qui s’imposent.
Ne transmettez jamais d’identifiants ou de secrets dans un premier e-mail non chiffré. Leur remise doit utiliser un canal convenu pour la mission.
4. Formaliser les règles d’engagement
Avant le démarrage, le périmètre autorisé, les exclusions, les horaires, les limites et les contacts d’urgence doivent être définis. Cette étape protège l’entreprise comme les auditeurs et garantit que les tests restent alignés sur les objectifs convenus.
5. Prévoir du temps pour la restitution
Le rapport d’audit n’est pas une fin en soi. Il doit être compris par les personnes qui décident des priorités et celles qui réalisent les corrections. Prévoyez un échange avec les équipes techniques pour examiner les constats et discuter de la remédiation.
6. Anticiper les actions après l’audit
Identifiez comment les recommandations seront priorisées et suivies. Certaines failles demanderont des corrections rapides ; d’autres devront être arbitrées selon leur impact et les contraintes de votre environnement.
Une contre-vérification peut être utile pour confirmer que les corrections apportées répondent au problème identifié. Ses modalités doivent être convenues avec le prestataire.
Quelle est la prochaine étape ?
Pour un premier audit, nul besoin de rédiger un cahier des charges très technique. Commencez par décrire votre activité, les systèmes à examiner et la raison de votre démarche. Cela suffit pour engager une discussion sur le périmètre approprié.
Découvrez notre accompagnement PME et ETI ou consultez les prestations de pentest.