Liste de préparation aux tests d’intrusion bancaires : avant le début des tests

Éliminez les retards évitables avant le test

Avant de tester les applications bancaires, les API de paiement et les accès privilégiés, confirmez les responsables nommément désignés, les environnements autorisés, les accès représentatifs et les contacts à joindre pour arrêter les tests. Des accès manquants ou des autorisations ambiguës peuvent limiter la couverture utile. Passez la liste de contrôle avec les responsables techniques et opérationnels avant de convenir de la date de démarrage.

Définir l’objectif

• Déterminez les changements qu’un canal ou une identité de service compromis peut réellement effectuer, où des contrôles indépendants l’en empêchent et quelles corrections doivent être prioritaires.
• Indiquez les responsables du service et la décision que le test doit éclairer.
• Sélectionnez les applications, les réseaux, les identités et les intégrations inclus dans le périmètre.

Établir l’autorisation

• Obtenez une autorisation écrite pour chaque environnement dont vous êtes propriétaire.
• Confirmez les limites entre fournisseurs et plateformes partagées.
• Consigner les méthodes interdites et les systèmes hors périmètre.

Préparez le plan opérationnel

• Utilisez des paiements préalimentés et des clients synthétiques avec le règlement désactivé. Convenez d’une autorité indépendante habilitée à arrêter les tests, du rapprochement des transactions, de responsables système nommément désignés et des autorisations pour les services tiers. Distinguez les modifications de brouillons démontrées des transferts de fonds non exécutés.
• Désigner une personne principale et une personne suppléante habilitées à interrompre l’activité.
• Convenir des communications, des fenêtres d’intervention, des limites de requêtes et de l’escalade des incidents.

Préparez des accès représentatifs

• Créez des dossiers synthétiques et des rôles de test dédiés.
• Documentez les décisions attendues concernant les accès inter-locataires et les accès à privilèges élevés.
• Mettez en place un canal confidentiel pour les informations techniques.

Planifier la livraison et la clôture

• Convenir des exigences en matière de périmètre, d’éléments probants, de rapports et de conservation.
• Attribuez les mesures correctives à des responsables et incluez les critères de nouveau test.
• Rapprochez les comptes, les sessions et les objets canari introduits.