Éditeurs de logiciels et plateformes SaaS

Le plus souvent, un test en boîte grise de l’application et de son API, mené par un prestataire indépendant, avec un rapport daté qui décrit le périmètre, la méthode et chaque constat reproduit. Le grand compte regarde trois choses : le cloisonnement entre clients a-t-il été testé avec deux organisations, les failles trouvées sont-elles corrigées, et un nouveau test l’a-t-il confirmé. Demandez au client son format avant de commander : certains imposent un gabarit, une fréquence annuelle ou un prestataire qualifié. Un rapport qui n’a pas ces éléments se fait renvoyer, quelle que soit sa longueur.

En rejouant, avec l’identité d’une organisation, les requêtes d’une autre : pages, API, exports, pièces jointes, webhooks et fonctions d’administration. Il faut donc deux comptes de test dans deux organisations distinctes, avec des données reconnaissables de chaque côté. Le test porte sur tous les chemins d’accès à un objet, pas seulement sur le plus visible. Pour que la preuve dure, l’équipe ajoute ensuite des tests automatisés qui vérifient, pour chaque ressource, qu’une organisation reçoit un refus sur les objets d’une autre, et qui tournent à chaque livraison.

Non. Une certification ISO/IEC 27001 atteste qu’un système de management de la sécurité existe et fonctionne sur un périmètre donné ; un rapport SOC 2 est établi par un auditeur sur les contrôles de l’organisation. Aucun des deux ne démontre que l’application résiste à une attaque, et de nombreux clients demandent les deux. Reconmind n’est ni organisme de certification ni auditeur SOC 2 : nous produisons la preuve technique, que votre auditeur ou votre client apprécie.