Ce guide vous fournit tout ce dont vous avez besoin pour comprendre, définir le périmètre et exécuter ce type de test, avec des conseils pratiques que vous pouvez appliquer immédiatement.
Évaluer l'expertise technique
Renseignez-vous sur les testeurs qui travailleront réellement sur votre mission, et pas seulement sur les arguments marketing de l'entreprise. Quelles certifications détiennent-ils (OSCP, OSCE, CREST) ? Quelle est leur expérience avec votre type d'environnement spécifique (SaaS, cloud, fintech, santé) ? Peuvent-ils décrire en détail leur méthodologie de test de la logique métier, du multi-tenancy ou de la sécurité des API ? Un fournisseur incapable de répondre à ces questions ne trouvera pas les vulnérabilités qui comptent.
Évaluer la méthodologie
Un fournisseur crédible suit une méthodologie reconnue (PTES, OWASP Testing Guide, NIST SP 800-115) et l'adapte à votre environnement spécifique. Demandez-leur leur document de méthodologie de test. S'il s'agit d'un modèle générique et unique qui ne tient pas compte des tests spécifiques au cloud, aux API ou aux applications, cherchez ailleurs.
Examiner des exemples de rapports
Demandez un exemple de rapport expurgé avant de signer un contrat. Évaluez s'il comprend des résumés clairs à l'attention de la direction, des étapes de reproduction détaillées, des évaluations de gravité avec un contexte métier (pas seulement CVSS), des conseils de correction spécifiques aux piles technologiques et une mise en correspondance avec la conformité. Si l'exemple de rapport ressemble à une sortie d'analyse automatisée avec une page de couverture, c'est probablement ce que vous recevrez.
Comprendre le modèle de tarification
Une tarification transparente par test (comme Penetrify) signifie que vous savez exactement ce que vous payez avant le début de la mission. Les modèles basés sur le crédit nécessitent d'estimer la consommation et peuvent entraîner un gaspillage du budget. Les modèles de taux journalier peuvent augmenter si la portée s'étend. Le modèle de tarification doit correspondre à votre cadence de test, et non vous obliger à prendre des engagements annuels alors que vous avez besoin d'une flexibilité trimestrielle.
Confirmer que les nouveaux tests sont inclus
Identifier les vulnérabilités sans vérifier les correctifs ne représente que la moitié du travail. Assurez-vous que les nouveaux tests sont inclus dans le prix de la mission et ne sont pas facturés séparément. Le cycle complet de recherche-correction-vérification est ce qu'exigent les cadres de conformité et ce qui réduit véritablement les risques.
Adapter la spécialisation à vos besoins
Un fournisseur spécialisé dans les systèmes de contrôle industriel peut ne pas être adapté à votre application SaaS. Une boutique de tests d'applications Web peut ne pas avoir l'expertise cloud dont votre environnement AWS a besoin. Choisissez un fournisseur dont l'expertise de base correspond à vos principaux besoins en matière de test.
L'essentiel
La bonne société de "test d'intrusion" comprend votre environnement, suit une méthodologie rigoureuse, produit des rapports que votre auditeur accepte et sur lesquels vos ingénieurs agissent, et fixe des prix de manière transparente. Penetrify remplit ces quatre conditions : expertise SaaS native du cloud, méthodologie hybride automatisée et manuelle, rapports conformes et tarification transparente par test.