La réponse courte
Une analyse indique des faiblesses techniques possibles. Un test d’intrusion examinera comment les vulnérabilités peuvent être exploitées et quel en est l’impact. Le choix dépend de la question à laquelle vous souhaitez répondre.
Formulez d’abord la question à laquelle le test doit répondre
Souhaitez-vous un aperçu des vulnérabilités connues, ou voulez-vous savoir jusqu’où un attaquant peut progresser dans une application donnée ? Ces questions exigent des approches différentes. Déterminez les systèmes, comptes et processus métier concernés. Par exemple, un test d'un site Web dit peu sur la sécurité de tout votre lieu de travail.
Définissez clairement la mission
Consignez le consentement préalable, le périmètre, le calendrier, les contacts et les conditions d'arrêt. Discutez des perturbations inacceptables et de la façon dont les conclusions urgentes sont rapportées. Ces accords garantissent que le test reste concentré et que votre équipe sait à quoi elle peut s'attendre.
Demandez des résultats compréhensibles
Un score technique ne constitue pas un plan de correction. Vous voulez savoir ce qui a été trouvé, comment il a été étayé et quelles sont les conséquences possibles. Demandez des priorités et des améliorations applicables, en distinguant les interventions rapides des ajustements structurels.
Planifiez le suivi
Prévoyez le temps nécessaire aux corrections et à un éventuel nouveau test. Discutez qui fait les ajustements et comment vous trouvez le problème résolu. JViT relie le piratage éthique à ce suivi, donc les résultats conduisent aussi à une meilleure défense.
Parlez-en avec votre équipe
- À quelle question le test doit-il répondre ?
- La portée est-elle consignée par écrit?
- Avons-nous des conseils de correction avec des priorités?
- Qui réalise les corrections et le nouveau test ?
