Évaluations
Revue de sécurité applicative
Revue assistée par le code, centrée sur les chemins d'un attaquant, pas un audit ligne par ligne de toute la base. Accès via un dépôt en lecture seule ou une session accompagnée, à votre convenance.
Périmètre
- Logique d'authentification et d'autorisation dans le code
- Validation des entrées et encodage des sorties aux frontières de confiance
- Gestion des secrets, usage de la cryptographie et risque des dépendances
- Architecture sensible à la sécurité : frontières de confiance, multi-tenant, flux de données
Méthode
Revue assistée par le code, centrée sur les chemins d'un attaquant, pas un audit ligne par ligne de toute la base. Accès via un dépôt en lecture seule ou une session accompagnée, à votre convenance.
Livrable
Des constats liés à des fichiers et chemins de code précis, chacun avec une recommandation concrète que vos ingénieurs peuvent appliquer directement.
Méthode
Notre approche
01
Cadrer
Chaque mission commence par un échange de cadrage et se conclut par un accord écrit : votre référentiel cible ou les systèmes et environnements dans le périmètre, ce qui en est explicitement exclu, quels comptes et données nous utilisons, et le calendrier.
02
Évaluer
Nous mesurons votre situation : une analyse d'écarts par rapport à votre référentiel cible, une revue des contrôles, des politiques et des risques, et des tests concrets là où c'est important. Le travail est manuel et méthodique, guidé par l'usage réel du système et par ce qu'un attaquant en voudrait vraiment. L'outillage soutient le travail ; il ne le remplace pas.
03
Expliquer
Vous recevez un rapport écrit et un appel de restitution. La synthèse est écrite pour ceux qui n'étaient pas dans la salle ; chaque constat porte preuves, étapes de reproduction, impact métier et correctif concret.
04
Retester
Quand votre équipe a corrigé, nous retestons les constats concernés et publions un rapport à jour indiquant clairement ce qui est résolu, partiellement résolu ou encore ouvert. Pour un programme de certification, nous préparons les preuves et nous tenons à vos côtés tout au long de l'audit, puis nous vous aidons à le maintenir à jour.
Questions fréquentes
- Avez-vous besoin d'accéder à notre code source ?
- Oui, via un accès en lecture seule au dépôt ou une revue supervisée, selon votre préférence. L'examen est assisté par le code et centré sur les chemins qu'emprunterait un attaquant.
- S'agit-il d'un scan SAST automatisé ?
- Non. Nous utilisons l'outillage pour nous orienter, mais l'examen est manuel et ciblé sur l'authentification, l'autorisation, la gestion des entrées, les secrets et les frontières de confiance, ce n'est pas un audit ligne par ligne de l'ensemble du code.
- Que recevons-nous ?
- Des constatations rattachées à des fichiers et à des chemins de code précis, chacune accompagnée de recommandations de correction concrètes que vos ingénieurs peuvent appliquer directement.
À lire aussi
Autres évaluations
Les missions sont à périmètre et prix fixes une fois convenus. Si vous hésitez sur le service adapté, qu'il s'agisse d'une préparation à la certification, d'un conseil en GRC ou d'un test d'intrusion, décrivez votre situation et nous recommanderons un périmètre, y compris en vous disant honnêtement si vous n'avez pas encore besoin de nous.