Comparer les propositions de manière équitable
Demandez à chaque prestataire de chiffrer les mêmes applications bancaires, API de paiement et accès privilégiés, et d’expliquer ses hypothèses concernant les rôles, les accès, les environnements et les fenêtres de test. Demandez des éléments pertinents sur l’expérience de l’équipe chargée de la mission ainsi qu’un exemple de rapport. Comparez les tests et contre-tests proposés avant de comparer les tarifs journaliers ; le montant le plus bas peut correspondre à une mission différente.
Évaluez les travaux proposés et l’équipe
Demandez les noms des personnes affectées aux rôles de prestation, leur expérience pertinente, leurs disponibilités et les éléments étayant toute affirmation professionnelle. Vérifiez si des sous-traitants interviennent et comment sont gérés l’indépendance et les conflits d’intérêts. Ce site ne formule aucune affirmation non vérifiée concernant des certifications ou accréditations.
L’intégrité des paiements exige davantage qu’un appel API réussi. Nous distinguons un brouillon modifié, une approbation acceptée et une exécution refusée, et consignons les contrôles qui restent efficaces.
Précisez la proposition
- Objectifs, systèmes, rôles, scénarios et exclusions explicites.
- Fenêtres opérationnelles, contrôles de sécurité, données de test et autorisations des prestataires.
- Responsabilités désignées pour l’escalade des incidents et les décisions d’arrêt.
- Transfert sécurisé, conservation, confidentialité et traitement des éléments probants.
- Rapports, échanges sur les corrections, contre-tests inclus et gestion des changements.
Examiner le fond d’un exemple
Recherchez des observations concrètes et des critères d’acceptation vérifiables. Un constat d’analyse sans validation ou un récit d’attaque sans limites de périmètre est difficile à exploiter. Comparez le niveau de détail technique de l’exemple aux livrables prévus dans la proposition.
Notre exemple de Megabank AG est explicitement fictif et disponible pour cette évaluation.
Comprenez les critères qui déterminent la durée et les frais
Les systèmes, l’ampleur, les rôles, la logique métier, les tiers et les fenêtres opérationnelles déterminent les travaux. Aucun forfait public à prix fixe ni délai d’achèvement garanti n’est proposé. L’énoncé des travaux convenu doit préciser les hypothèses, les prestations incluses, la marge prévue pour les nouveaux tests et l’incidence des changements sur le calendrier.
Confirmer le plan opérationnel
Utilisez des paiements préalimentés et des clients synthétiques avec le règlement désactivé. Convenez d’une autorité indépendante habilitée à arrêter les tests, du rapprochement des transactions, de responsables système nommément désignés et des autorisations pour les services tiers. Distinguez les modifications de brouillons démontrées des transferts de fonds non exécutés.
Préparez un brief avant l’appel de cadrage
Décrivez l’opération bancaire à protéger et la limite que le test doit établir. Un périmètre utile distingue l’accès aux canaux, l’approbation des paiements et l’autorité permettant leur exécution effective.
Utilisez le générateur gratuit de documents de définition du périmètre pour les tests d’intrusion bancaires afin de consigner les objectifs, les domaines d’évaluation, les contraintes et vos préférences concernant le NDA. Examinez le périmètre proposé, puis envoyez-le directement à Atlant Security via le formulaire de contact.
