Pour un RSSI : des constats prouvés et un plan défendable en comité

Un scanner couvre la largeur : versions obsolètes, configurations par défaut, défauts détectables par motif. Il ne trouve ni les défauts de contrôle d’accès, ni les abus de logique métier, ni le chaînage de trois défauts mineurs en prise de contrôle : rien dans une réponse HTTP ne lui dit qu’un client ne devrait pas lire la facture d’un autre. Nous gardons votre scanner et nous travaillons là où il est aveugle.

La synthèse de direction est écrite pour cela : dix minutes de lecture, sans bagage technique, avec ce qui est exposé, ce qu’une exploitation coûterait et les décisions à prendre dans l’ordre. Elle est livrée avec le rapport technique, pas en option. Et les prix plancher sont publics, ce qui vous évite d’avoir à justifier un montant que vous n’avez pas pu comparer.

Nous l’écrivons, et le rapport décrit ce qui a été tenté et n’a pas abouti : c’est la seule forme d’assurance honnête qu’une mission puisse donner. Un rapport sans faille grave reste un résultat, et il vaut mieux que des constats gonflés pour justifier la facture. Nous indiquons aussi ce qui mériterait un périmètre ou une profondeur différents.

La plateforme fait la reconnaissance, l’exécution des vérifications répétables et la corrélation : la largeur. L’exploitation, le contrôle d’accès, la logique métier et la preuve sont faits par un analyste. Nous séparons explicitement les deux dans le rapport, pour que vous sachiez ce qui a été vu par une machine et ce qui a été vu par un humain.