Centre de connaissances
Centre de connaissances sur les tests d’intrusion et les audits informatiques.
Découvrez ce que comprend chaque type d’évaluation de sécurité autorisée, les domaines examinés, les référentiels utilisés et les éléments figurant dans le rapport final.
Tests d’intrusion
Ce que comprend un test d’intrusion réseau
Périmètre, couverture des tests, recommandations sectorielles, éléments probants et rapports pour les évaluations des réseaux internes et externes.
Lire l’articleTests d’intrusion
Ce que comprend un test d’intrusion d’application web
Un guide pratique sur la définition du périmètre d'une application web, les tests authentifiés, l'analyse de la logique métier et le rapport final.
Lire l’articleTests d’intrusion
Ce que comprend un test d’intrusion d’application mobile
Couverture des applications iOS et Android, du stockage sur les appareils, des contrôles de plateforme, des communications, des API et des rapports.
Lire l’articleTests d’intrusion
Ce que comprend un test d’intrusion d’API
Comment le périmètre des interfaces REST, GraphQL et de services est défini, comment elles sont testées et comment les éléments probants et les résultats sont consignés dans le rapport.
Lire l’articleTests d’intrusion
Ce que comprend un test d’intrusion cloud
Présentation de la couverture des identités cloud, des charges de travail, du stockage, du réseau, de la journalisation, des chemins d’élévation de privilèges et des rapports.
Lire l’articleTests d’intrusion
Ce que comprend un test d’intrusion de réseau sans fil
Présentation du chiffrement sans fil, de l’authentification, de l’isolation, des scénarios d’accès non autorisé et du rapport d’évaluation.
Lire l’articleTests d’intrusion
Ce que comprend un test d’intrusion Active Directory
Architecture des identités, privilèges, relations d’approbation, identifiants, chemins d’attaque, durcissement et rapports réunis dans un seul guide.
Lire l’articleTests d’intrusion
Ce que comprend un test d’intrusion IoT
Explications sur les appareils, les micrologiciels, les interfaces, les communications, les services connectés et les rapports de sécurité des produits.
Lire l’articleAudits informatiques
Ce que comprend un audit de sécurité informatique
Comment sont structurés les critères d’audit, les éléments probants, les lacunes des contrôles, les risques, les recommandations et les rapports à la direction.
Lire l’articleExigences légales et réglementaires
Comment les tests contribuent au respect des obligations réglementaires et contractuelles.
En Europe et aux États-Unis, la législation et les référentiels sectoriels imposent de plus en plus aux organisations de tester l’efficacité de leurs contrôles de sécurité. Les tests d’intrusion autorisés et les audits informatiques fournissent les preuves documentées attendues par les autorités de réglementation, les auditeurs et les partenaires commerciaux.
Europe
Le droit européen considère les tests de sécurité comme faisant partie de l’obligation d’une organisation de protéger les données personnelles et les services essentiels.
GDPR, article 32
Exige des mesures techniques et organisationnelles adaptées au risque, notamment un processus visant à tester, analyser et évaluer régulièrement l’efficacité des contrôles de sécurité.
Directive NIS2
Oblige les entités essentielles et importantes à gérer les risques cyber et à vérifier les mesures mises en place ; les tests d’intrusion constituent un moyen reconnu de démontrer que les contrôles fonctionnent effectivement.
DORA
Impose aux entités financières de l’UE des tests de résilience opérationnelle numérique, notamment des tests d’intrusion fondés sur les renseignements sur les menaces pour les établissements désignés.
Référentiels nationaux
Les règles sectorielles et nationales, par exemple dans la santé, l’énergie et l’administration publique, font fréquemment référence aux tests de sécurité indépendants comme preuve de diligence.
États-Unis
Aux États-Unis, les obligations découlent de la réglementation fédérale, des normes sectorielles et des lois des États sur la protection de la vie privée. Nombre d’entre elles mentionnent explicitement les tests d’intrusion.
PCI DSS
L’exigence 11 impose des tests d’intrusion réguliers de l’environnement des données des titulaires de cartes à toute organisation qui stocke, traite ou transmet des données de cartes de paiement.
Règle de sécurité HIPAA
Exige que les entités concernées évaluent les mesures de protection techniques ; les tests d’intrusion peuvent contribuer à cette évaluation, mais ne sont pas explicitement imposés par HIPAA.
GLBA / SOX
Les organisations financières et les sociétés cotées doivent démontrer que les contrôles protégeant leurs systèmes financiers et les informations de leurs clients ont été testés.
Lois des États sur la protection de la vie privée
Les lois telles que le CCPA/CPRA exigent des procédures de sécurité raisonnables ; des tests documentés sont essentiels pour démontrer le respect de cette exigence.
Référentiels internationaux
Le choix du référentiel dépend des systèmes, des engagements contractuels et des risques.
ISO/IEC 27001
Une norme de management de la sécurité de l’information. Les tests techniques peuvent contribuer au traitement des risques et à l’évaluation des contrôles.
SOC 2
Un cadre d’attestation des contrôles des prestataires de services, et non une obligation universelle de réaliser des tests d’intrusion.
NIST CSF
Un cadre de gestion des risques de cybersécurité pouvant orienter les objectifs d'évaluation et la planification des améliorations.
Cette présentation fournit des informations générales et ne constitue pas un conseil juridique. Les obligations précises applicables dépendent de votre secteur, des données que vous traitez et des juridictions dans lesquelles vous exercez vos activités. DIGITPOL confirme les exigences applicables lors de la définition du périmètre de la mission.