On fixe par écrit le périmètre, les comptes de test et la fenêtre d’intervention. Je travaille de préférence sur un environnement de préproduction. Je passe en revue l’application en suivant OWASP ASVS : authentification, sessions, contrôle d’accès, validation des entrées, logique métier, configuration du serveur. Je présente le rapport en réunion avec vos développeurs, puis je vérifie les corrections et je mets le rapport à jour. Je limite volontairement le nombre de commandes en parallèle pour tenir ce délai. Comptez environ 9 jours une fois le brief validé.
Votre application va être mise en ligne ou un client exige un audit de sécurité avant de signer. Vous ne savez pas si les données d’un utilisateur sont bien cloisonnées de celles des autres.
Un rapport d’audit où chaque point est noté selon CVSS, avec son impact et sa correction recommandée, une synthèse pour la direction et une seconde passe après corrections.
Une vérification des corrections incluse dans les 60 jours suivant le rapport.
Paiement à la livraison pour les petites prestations ; acompte demandé au-delà.
Métriques, logs et alertes réunis dans un tableau de bord, pour voir les incidents avant vos utilisateurs.
Métriques, logs et alertes réunis dans un tableau de bord, pour voir les incidents avant vos utilisateurs.
Un ensemble de machines virtuelles prêtes à l'emploi pour pratiquer l'audit et la détection en salle de TP.
Une relecture méthodique avant déploiement, avec un rapport classé par gravité.
