Ce que nous testons, comment, et ce que vous recevez

Périmètre

• •Authentification, gestion de session et récupération de compte
• •Autorisation : contrôle d'accès par rôle, par tenant et au niveau objet
• •Traitement des entrées : injection, gestion de fichiers, désérialisation
• •Abus de logique métier : contournements de workflow, race conditions, logique de paiement et de quotas
• •Spécifique API : surexposition de données, mass assignment, rate limiting

Méthode

Des tests avant tout manuels, outillés quand c'est utile. Nous testons avec des comptes convenus sur des environnements convenus, et nous ne lançons jamais de vérifications destructives ou impactant la disponibilité sans accord explicite.

Livrable

Un rapport écrit avec synthèse de direction, constats reproductibles (requêtes exactes, routes affectées, preuves) et remédiation classée par risque réel. Un retest des constats corrigés est inclus lorsqu'il est convenu au périmètre.

Périmètre

• •Gestion des identités et des accès : rôles, politiques, hygiène des clés et des identifiants
• •Exposition réseau : points d'accès publics, groupes de sécurité, chemins d'entrée
• •Stockage des données : chiffrement, politiques d'accès, exposition des sauvegardes
• •Gestion des secrets et dérive de configuration
• •Couverture des journaux, de la supervision et des alertes

Méthode

Revue en lecture seule avec des identifiants restreints que vous provisionnez, complétée par des sessions d'architecture avec votre équipe. Nous n'avons pas besoin, et ne demandons pas, d'accès admin en production.

Livrable

Une liste priorisée de constats où chaque élément nomme la ressource affectée, le risque en contexte et le changement de configuration précis qui le corrige.

Périmètre

• •Logique d'authentification et d'autorisation dans le code
• •Validation des entrées et encodage des sorties aux frontières de confiance
• •Gestion des secrets, usage de la cryptographie et risque des dépendances
• •Architecture sensible à la sécurité : frontières de confiance, multi-tenant, flux de données

Méthode

Revue assistée par le code, centrée sur les chemins d'un attaquant, pas un audit ligne par ligne de toute la base. Accès via un dépôt en lecture seule ou une session accompagnée, à votre convenance.

Livrable

Des constats liés à des fichiers et chemins de code précis, chacun avec une recommandation concrète que vos ingénieurs peuvent appliquer directement.

Périmètre

• •Acquisition et préservation des preuves avec chaîne de possession documentée
• •Analyse disque, mémoire et journaux sur les systèmes touchés
• •Reconstruction de chronologie : accès initial, déplacements, actions menées
• •Analyse de cause racine du point d'entrée et de l'étendue de l'exposition
• •Indicateurs de compromission pour votre supervision future

Méthode

Une manipulation forensiquement rigoureuse dès le premier contact : les originaux sont imagés et hachés avant analyse, chaque étape est journalisée, et les constats s'appuient sur des artefacts vérifiables, pas des spéculations.

Livrable

Un rapport forensique certifié, adapté aux procédures juridiques, d'assurance et de conformité, avec un récit clair de ce qui s'est passé et des mesures concrètes pour fermer le point d'entrée.

Périmètre

• •HIPAA : revue des garde-fous et analyse de risque pour les données de santé
• •PCI DSS : cadrage, analyse d'écarts et remédiation jusqu'à l'attestation
• •SOC 2 : conception des contrôles et préparation des preuves pour les audits Type I / Type II
• •ISO 27001 : construction du SMSI, traitement des risques et audit interne avant certification
• •Des habitudes de collecte de preuves durables, pour que l'audit suivant coûte moins que le premier

Méthode

D'abord une analyse d'écarts par rapport au référentiel visé, puis une aide concrète à la mise en œuvre des contrôles manquants : politiques, protections techniques et supervision. La certification elle-même est délivrée par des auditeurs accrédités ; nous vous préparons et vous accompagnons pendant leur audit.

Livrable

Un rapport d'écarts contrôle par contrôle, un plan de remédiation priorisé avec responsables et des preuves prêtes pour l'audit, plus un accompagnement aux côtés de votre auditeur ou QSA jusqu'à l'obtention du certificat ou de l'attestation.