Un test d'intrusion réussi se joue largement avant que le prestataire ne branche son ordinateur. Périmètre flou, autorisation absente, contrat sans clause de nettoyage, consultants qui parlent de leur mission dans un lieu public : ces oublis transforment un audit utile en risque juridique, en incident d'exploitation ou en fuite d'informations. Voici comment préparer un pentest côté client : ce qu'il faut faire, ce qu'il faut exiger dans le contrat (NDA, règles d'engagement, remise en état avec pénalités), et les règles de discrétion à imposer le jour J. Ce texte est une aide à la préparation, pas un avis juridique : faites relire vos contrats par un juriste.
Pourquoi préparer un pentest avec autant de soin ?
- La légalité : accéder à un système d'information sans autorisation est puni par l'article 323-1 du Code pénal (trois ans d'emprisonnement et 100 000 euros d'amende, cinq ans et 150 000 euros si des données sont supprimées ou modifiées ou si le fonctionnement est altéré). Ce qui rend un pentest légal, c'est l'autorisation écrite du propriétaire du système, dans les limites exactes du périmètre convenu.
- La sécurité de la production : un test mal cadré peut saturer un service ou corrompre des données.
- La valeur du résultat : un périmètre et des objectifs clairs donnent un rapport exploitable.
- La confidentialité : les vulnérabilités découvertes sont des informations extrêmement sensibles jusqu'à leur correction.
À retenir : pas d'autorisation écrite signée, pas de test. Et l'autorisation ne couvre que ce qui est écrit.
Étape 1 : choisir le prestataire
| Vérification | Pourquoi |
|---|---|
| Qualification PASSI si le contexte l'exige | La qualification de l'ANSSI atteste la compétence et la méthode ; elle est demandée dans certains secteurs et pour les systèmes régulés (voir notre glossaire OIV, LPM, SIIV, PASSI, PDIS) |
| Références et méthodologie | Savoir comment le test est mené (par exemple le guide de test OWASP pour le web, voir notre article sur l'OWASP) |
| Équipe nommée | Qui intervient précisément, avec quelle expérience ; pas de sous-traitance sans accord écrit |
| Assurance responsabilité civile professionnelle | Couvre les dommages en cas d'erreur ; demandez l'attestation et les plafonds |
| Hébergement et traitement des données du test | Où sont stockées les preuves et les données collectées, et avec quelle protection |
Étape 2 : les documents à signer, dans l'ordre
- Le NDA (accord de confidentialité), avant tout échange technique. Il doit couvrir les informations de l'entreprise, le périmètre, les vulnérabilités trouvées, le rapport et toutes les communications informelles. Il doit aussi lier chaque consultant et sous-traitant, pas seulement la société, et s'appliquer pendant et après la mission, sur une durée précisée.
- Le contrat de prestation, avec les livrables, les délais, le prix, la responsabilité, l'assurance et les clauses de remise en état décrites plus bas.
- L'autorisation écrite (lettre de mission), signée par une personne habilitée à engager l'entreprise, qui liste précisément les systèmes, adresses, applications et dates. Si des systèmes sont hébergés chez un tiers (hébergeur, cloud, prestataire), obtenez leur accord : le vôtre ne suffit pas, et certains fournisseurs imposent leurs propres règles pour les tests.
- Les règles d'engagement, détaillées ci-dessous.
- Un volet données personnelles : si le prestataire peut accéder à des données personnelles, il agit comme sous-traitant au sens du RGPD ; prévoyez les clauses adaptées (voir notre article sur la CNIL).
Étape 3 : les règles d'engagement à écrire noir sur blanc
| Sujet | Ce qu'il faut préciser |
|---|---|
| Périmètre | Adresses IP, noms de domaine, applications, comptes ; et surtout ce qui est exclu |
| Type de test | Boîte noire, grise (avec comptes) ou blanche (avec documentation) ; test externe, interne, applicatif |
| Dates et horaires | Fenêtre de test, jours interdits (clôture comptable, pic d'activité) |
| Environnement | Production ou préproduction ; règles si des systèmes de production sont touchés |
| Techniques autorisées ou interdites | Déni de service, ingénierie sociale, hameçonnage, intrusion physique, exploitation de failles critiques |
| Accès aux données | Jusqu'où aller : prouver l'accès sans copier ni extraire de données sensibles |
| Comptes et accès fournis | Comptes de test, VPN, adresses IP source du prestataire |
| Contacts et escalade | Référent côté client joignable pendant le test, numéro d'urgence, procédure d'arrêt immédiat |
| Communication | Canal sécurisé pour les échanges ; jamais d'informations sensibles en clair |
| Détection | Faut-il prévenir le SOC ? Selon l'objectif, il peut être informé ou non, mais une personne doit pouvoir distinguer le test d'une vraie attaque |
Le nettoyage des traces : le contrat doit l'exiger
Pendant un pentest, le prestataire crée des éléments sur vos systèmes : comptes, fichiers, outils, scripts, règles, clés, tâches planifiées, modifications de configuration, parfois des accès persistants pour démontrer une compromission. Rien de cela ne doit rester après la mission.
Ce que le contrat doit prévoir
- Un inventaire des artefacts : le prestataire tient un journal horodaté de ses actions et des éléments déposés (adresse IP source, dates, systèmes, fichiers), ce qui permet aussi à votre SOC de corréler le test avec ses alertes.
- La remise en état : suppression de tous les comptes, fichiers, outils, accès et modifications créés, dans un délai défini après la fin des tests.
- Une attestation de nettoyage signée, que vous vérifiez de votre côté (contrôle des comptes, des fichiers et des configurations).
- La restitution ou la destruction des données collectées : preuves, captures, données extraites, avec délai de conservation limité et certificat de destruction.
- Des pénalités contractuelles en cas de manquement : artefact oublié, dépassement de périmètre, perte ou fuite de données, retard de nettoyage. Le principe de la clause pénale est encadré par le droit français (le juge peut modérer une pénalité manifestement excessive) et la responsabilité du prestataire est souvent plafonnée : faites rédiger et valider ces clauses par un juriste.
Attention à une nuance essentielle
« Supprimer les traces » signifie supprimer ses propres artefacts, pas effacer vos journaux. Le contrat doit interdire au prestataire de modifier, supprimer ou altérer les journaux et les preuves du client (journaux système, pare-feu, applications). Ces journaux servent à vérifier ce qui a été fait, à mesurer votre détection et, en cas de vrai incident survenu en parallèle, à mener l'enquête. Un prestataire qui efface des journaux rend son travail invérifiable.
À retenir : exigez la suppression des artefacts du prestataire et la conservation intacte de vos journaux. Une pénalité ne remplace pas une vérification.
La discrétion le jour J : la règle du restaurant
Les vulnérabilités d'une entreprise sont des secrets de premier ordre. Or les fuites viennent souvent de conversations anodines : deux consultants qui détaillent leur mission au restaurant le soir, dans le train, dans un espace de travail partagé, ou devant les collaborateurs du client.
À écrire dans le contrat et à rappeler à l'ouverture de la mission :
- Aucune discussion sur la mission dans un lieu public ou partagé : restaurant, transports, cafés, ascenseurs, open space du client.
- Aucun échange informel hors canal convenu : pas de messagerie personnelle, pas de réseaux sociaux, pas de message vocal en clair.
- Aucune photo ni publication : écrans, badges, locaux, résultats. Aucune mention du client, même anonymisée, sans accord écrit.
- Postes du prestataire chiffrés et jamais laissés sans surveillance ; supports amovibles interdits sauf accord.
- Principe du besoin d'en connaître : au sein du prestataire, seules les personnes affectées à la mission connaissent le client et les résultats.
- Échanges sensibles chiffrés, y compris le rapport final.
- Pénalités ou responsabilité renforcée en cas de divulgation, pas seulement la résiliation du contrat.
Côté client, appliquez la même discipline : ne diffusez le calendrier du test qu'aux personnes qui en ont besoin.
Étape 4 : ce que le client prépare avant le début
- Sauvegardes vérifiées des systèmes testés, avec test de restauration récent.
- Gel des changements sur le périmètre pendant la fenêtre de test.
- Référent désigné, joignable pendant tout le test, avec un suppléant.
- Comptes, accès et documentation prêts à l'avance (comptes de test, VPN, schémas).
- Information de l'hébergeur et des tiers concernés, si nécessaire.
- Plan de réaction si un incident réel survient pendant le test, avec une procédure d'arrêt immédiat.
- Objectifs précis : ce que vous voulez savoir (exposition externe, compromission d'un compte, conformité, application précise).
Étape 5 : le rapport et le suivi
| Livrable | À exiger |
|---|---|
| Synthèse pour la direction | Risques principaux et priorités, sans jargon |
| Constats détaillés | Description, preuve, méthode de reproduction, impact et recommandation |
| Criticité | Notation cohérente, par exemple avec le score CVSS (voir notre article sur le score CVSS et le calculateur CVSS) |
| Remédiation | Plan d'actions priorisé |
| Restitution orale | Présentation et questions-réponses avec les équipes techniques |
| Contre-test | Vérification de la correction des failles critiques, inclus ou chiffré à part |
| Protection du rapport | Transmission chiffrée, accès limité, durée de conservation définie |
Checklist avant de signer
- Autorisation écrite signée par une personne habilitée.
- NDA signé avant tout échange technique, couvrant consultants et sous-traitants.
- Périmètre, exclusions, dates et environnement écrits.
- Techniques interdites et procédure d'arrêt définies.
- Clause de remise en état, journal des actions, attestation de nettoyage.
- Interdiction de toucher aux journaux du client.
- Restitution ou destruction des données avec certificat.
- Pénalités et plafonds de responsabilité validés par un juriste.
- Assurance responsabilité civile professionnelle vérifiée.
- Règles de discrétion (lieux publics, réseaux sociaux, communication) écrites.
- Sauvegardes et contacts d'urgence prêts.
- Format du rapport, criticité et contre-test précisés.
En résumé
Un pentest bien préparé repose sur un cadre écrit : autorisation, NDA, règles d'engagement, remise en état des artefacts avec pénalités, conservation intacte de vos journaux, et règles de discrétion claires jusqu'aux repas du soir. Le prestataire doit savoir précisément ce qu'il peut faire, comment l'arrêter, ce qu'il doit nettoyer et ce qu'il ne doit jamais dire, ni à qui, ni où. C'est cette préparation qui fait la différence entre un test qui renforce votre sécurité et un test qui en crée de nouveaux risques.