Règles d'engagement des tests de sécurité
C'est la norme que chaque membre du réseau s'engage à respecter lorsqu'il teste un système : où l'on peut travailler, quand, ce qui ne se fait jamais et ce qui se passe si quelque chose s'arrête. Elles sont publiques exprès : qui commande un test peut les lire avant, et tout professionnel peut s'en servir comme base de son propre contrat. C'est un modèle prêt à l'emploi : à adapter à chaque mission, à son périmètre et aux besoins du client.
- On travaille seulement là où c'est écrit. Seuls les systèmes listés par écrit par le client sont testés. Ce qui n'est pas écrit n'est pas touché, même s'il est accessible depuis les systèmes autorisés. Les services tiers connectés — paiements, messagerie, statistiques — restent exclus, sauf autorisation écrite de leur fournisseur.
- On travaille seulement quand c'est convenu. Les tests ont lieu dans les dates et la plage horaire convenues, avec des heures au format 24 h et le fuseau horaire indiqué. Rien n'est exécuté en dehors de cette fenêtre. Plus de temps se convient par écrit.
- À distance, sauf accord. Le travail se fait par le réseau, uniquement sur les systèmes indiqués. La présence sur site se convient à part et par écrit.
- Ce qui ne se fait jamais. Aucun test visant à faire tomber ou ralentir les systèmes. Aucune donnée supprimée, modifiée ou chiffrée. Aucun appel ou e-mail trompeur au personnel, sauf accord exprès et écrit. Tests de charge ou ingénierie sociale se conviennent à part.
- Si quelque chose s'arrête, tout s'arrête. Si un système se bloque ou ralentit, les tests s'arrêtent aussitôt et l'on appelle le contact désigné par le client, joignable pendant toute la fenêtre.
- Aucune arme remise. Exploits, rançongiciels ou logiciels malveillants ne sont remis à personne ni laissés sur les systèmes. Ce qui sert à démontrer une faille est supprimé à la fin du test. Le client reçoit ce qui était exposé, sa gravité et comment le corriger — pas l'outil utilisé.
- La cryptographie se vérifie toujours. Chaque test vérifie comment données et accès sont protégés : clés écrites dans le code, protections dépassées, certificats expirés ou mal configurés, mots de passe mal stockés. Un test n'est pas une certification de conformité : celle-ci est délivrée par un organisme accrédité.
- Ce que l'on voit reste confidentiel. Les données confidentielles rencontrées lors d'un test restent confidentielles sans limite de durée, ne sont copiées qu'au strict minimum pour démontrer le problème et sont masquées dans le rapport.
- Le rapport appartient au client. Le document final est la propriété du client. Il ne sert pas d'étude de cas et le nom du client n'apparaît dans aucun support sans son autorisation écrite.
- Une sauvegarde est recommandée. Une sauvegarde récente et vérifiée est recommandée avant tout test : le risque n'est jamais nul. Sans sauvegarde, on travaille avec une prudence maximale et le risque reste au client, par écrit.
- Ce qu'un test n'est pas. Un test dit ce qui a été trouvé dans le périmètre et le temps convenus. Il ne garantit pas que le système soit inattaquable.
- Qui autorise doit en avoir le droit. Qui commande le test déclare par écrit être propriétaire des systèmes ou avoir l'autorisation écrite du propriétaire. Si les systèmes sont chez un fournisseur tiers, son autorisation est aussi nécessaire.
Les accords financiers et le contrat restent entre le membre et le client : Boutique Hacker n'est pas partie au travail ; il vérifie les certifications des membres et publie ces règles. Le modèle est fourni tel quel : définir le périmètre, obtenir les autorisations et adapter les règles à chaque mission relève de la seule responsabilité du membre et du client. Boutique Hacker ne répond pas des erreurs de périmètre, des autorisations manquantes ni des dommages découlant du travail effectué.