Employez des termes précis pour commander des prestations précises
Une proposition doit expliquer ce que ses conditions de test impliquent en pratique. Utilisez ce glossaire pour distinguer l’accès, l’autorisation et l’impact observé lors des échanges sur les applications bancaires, les API de paiement et les accès privilégiés. Demandez au prestataire de traduire les termes généraux en cibles nommées et en critères d’acceptation mesurables.
Périmètre
Les systèmes, identités, flux de travail et méthodes autorisés pour l’évaluation, avec les exclusions et dépendances clairement définies.
Règles d’engagement
Les conditions opérationnelles, les autorisations, les contacts d’escalade et les critères d’arrêt qui régissent l’exécution des tests.
Objet canari
Un enregistrement, un compte ou une transaction délibérément synthétique, utilisé pour démontrer un résultat sans recourir à de véritables données sensibles.
Segmentation
Contrôles qui séparent l’accès aux réseaux ou aux services. Un test examine des chemins et des autorisations définis, sans présumer qu’un schéma reflète leur application effective.
Identité de charge de travail
Une identité machine ou un principal de service utilisé par des applications, des intégrations ou des systèmes de déploiement. Ses autorisations et la durée de validité de ses identifiants influent sur le chemin d’attaque accessible.
Scénario assisté
Un scénario utilisant un compte fourni et approuvé ou une position de départ définie. L’assistance est consignée afin que le résultat ne soit pas confondu avec un accès obtenu sans aide.
Éléments probants
Les observations et les enregistrements étayant un constat, avec horodatages, contexte et contrôles d’intégrité. Les éléments de preuve synthétiques utilisés comme échantillons doivent rester identifiés comme tels.
Retester
Une validation ultérieure de mesures correctives précises au regard de critères d’acceptation convenus. Une procédure planifiée ne constitue pas un résultat achevé.
Risque résiduel
Exposition résiduelle après les corrections, exclusions ou mesures de contrôle provisoires, nécessitant un responsable et une décision explicites.
