Les questions à trancher avant de demander un devis
Le coût et la durée des tests d’intrusion pour les banques dépendent des systèmes ciblés, des rôles, des processus métier, des modalités d’accès et des exigences de reporting. Le seul nombre de systèmes ne permet pas d’évaluer la charge de travail. Utilisez les questions ci-dessous pour préparer le périmètre et repérer les hypothèses auxquelles une proposition doit répondre.
Avant une mission
Que couvre le test d’intrusion dans le secteur bancaire ?
Tests d’intrusion pour la banque numérique et les API ; tests d’intrusion des réseaux bancaires et des identités à privilèges ; tests des flux de paiement et de l’autorisation. Le périmètre convenu définit les actifs, les rôles, les interfaces et les exclusions spécifiques.
Pouvez-vous tester des systèmes de production ?
Utilisez des paiements préalimentés et des clients synthétiques avec le règlement désactivé. Convenez d’une autorité indépendante habilitée à arrêter les tests, du rapprochement des transactions, de responsables système nommément désignés et des autorisations pour les services tiers. Distinguez les modifications de brouillons démontrées des transferts de fonds non exécutés. Les tests en production nécessitent un accord explicite ; les résultats de préproduction et de production ne doivent pas être présentés comme interchangeables.
Est-ce la même chose qu’un scan de vulnérabilités ?
Non. Un scan peut contribuer à la découverte, mais un test d’intrusion valide des faiblesses sélectionnées et leurs conséquences dans l’environnement autorisé. Le rapport doit distinguer les observations non vérifiées des constats démontrés.
Un test d’intrusion établit-il la conformité ?
DORA s’applique aux entités financières relevant de son champ d’application, tandis que le TLPT réglementaire est un processus spécifique de tests avancés destiné aux entités identifiées. Un test d’intrusion bancaire peut contribuer au programme de tests plus large sans constituer un TLPT DORA. PCI DSS peut être pertinent pour le périmètre des données des titulaires de carte ; le RGPD et les attentes des autorités de supervision doivent être examinés séparément.
Combien de temps dure une mission et quel en est le coût ?
La durée et les tarifs dépendent du périmètre, des rôles, des flux de travail, des conditions d’accès, de l’intervention de tiers et des besoins en matière de rapport et de nouveaux tests. Ces éléments sont convenus dans une proposition et ne sont pas déduits d’une offre générique.
Que recevrons-nous ?
Un relevé de couverture convenu, des constats techniques, des preuves, les limites d’impact et un plan de remédiation. Les contre-tests et les exercices opérationnels supplémentaires sont précisés dans le cahier des charges.
L’exemple est-il un véritable rapport client ?
Non. Megabank AG ainsi que tous les systèmes, participants et résultats sont fictifs. Cet exemple illustre le compte rendu technique sans divulguer d’informations sur des clients.
Que deviennent les informations fournies pour obtenir un exemple ?
Atlant Security reçoit votre demande via sa messagerie professionnelle, met le téléchargement depuis le navigateur à votre disposition et peut vous recontacter au sujet de votre demande. Vous ne serez pas inscrit à des communications marketing. Consultez les avis de confidentialité et sur les cookies.
Que devons-nous inclure dans une demande ?
Votre organisation, votre rôle, une description générale des systèmes ou des flux de travail, votre objectif et le calendrier envisagé. N’envoyez pas de dossiers de patients, de données de paiement, d’identifiants ni d’informations de sécurité confidentielles via le formulaire public.
