Que devrait démontrer le rapport ?
Votre rapport de test d’intrusion doit expliquer la défaillance du contrôle et la conséquence démontrée, et ne pas se limiter à attribuer un niveau de gravité. Vérifiez la présence des rôles clients, des états d’approbation des paiements et des opérations privilégiées, d’observations reproductibles et des responsables concernés. Les lacunes de couverture et les conséquences non testées doivent rester visibles afin que le rapport étaye une décision défendable.
Une vue d’ensemble destinée à la direction, avec des conclusions délimitées
Déterminez les changements qu’un canal ou une identité de service compromis peut réellement effectuer, où des contrôles indépendants l’en empêchent et quelles corrections doivent être prioritaires.
Résumez les fonctions testées, les risques pertinents, les contrôles qui ont résisté et les décisions nécessitant l’attribution d’une responsabilité. Expliquez les hypothèses et l’assistance apportée au lieu d’avancer l’affirmation de compromission la plus large possible.
Un enregistrement technique vérifiable
- Périmètre, versions, dates, rôles et conditions de test autorisées.
- Architecture et chemins de confiance examinés, avec des limites clairement définies.
- Horodatages UTC, requêtes, réponses et extraits de preuves expurgés.
- Constats avec conditions de reproduction, actifs concernés et limites.
- Lacunes de couverture, chemins refusés et actions délibérément non réalisées.
Un plan de traitement pour chaque constat
Distinguez le confinement immédiat de la correction durable. Désignez le responsable du système ou du processus et indiquez les dépendances vis-à-vis des fournisseurs, des mises en production ou des approbations opérationnelles. Définissez ce qui doit être observé avant de clôturer un élément.
Un relevé de validation
Un nouveau test réussi précise la version modifiée, le principal testé et le résultat réel. Un nouveau test proposé est indiqué comme étant en attente. La répétition des tests de détection et les exercices de restauration sont consignés séparément de la clôture des vulnérabilités, car chacun répond à une question différente.
Examiner le format avant l’achat
L’évaluation fictive de Megabank AG comprend 68 pages avec des diagrammes, trois scénarios, douze constats, des éléments de preuve techniques et une correspondance avec les contrôles. Elle illustre le format du rapport et ne rend pas compte d’une mission réalisée pour un client réel.
