Toute organisation qui g\u00e8re des donn\u00e9es sensibles doit faire preuve de diligence dans ses efforts de s\u00e9curit\u00e9, ce qui inclut des tests d’intrusion r\u00e9guliers. M\u00eame une petite violation de donn\u00e9es peut entra\u00eener des dommages importants pour la r\u00e9putation et les r\u00e9sultats d’une organisation.<\/p>\n
Il existe deux raisons principales pour lesquelles des tests d’intrusion r\u00e9guliers sont n\u00e9cessaires pour le d\u00e9veloppement d’applications Web s\u00e9curis\u00e9es\u00a0:<\/p>\n
- \n
- S\u00e9curit\u00e9:<\/strong> Les applications Web \u00e9voluent constamment et de nouvelles vuln\u00e9rabilit\u00e9s sont d\u00e9couvertes en permanence. Les tests d’intrusion aident \u00e0 identifier les vuln\u00e9rabilit\u00e9s qui pourraient \u00eatre exploit\u00e9es par des pirates et vous permettent de les corriger avant qu’elles ne causent des dommages.<\/li>\n
- Conformit\u00e9: <\/strong>Selon votre secteur d’activit\u00e9 et le type de donn\u00e9es que vous traitez, vous devrez peut-\u00eatre vous conformer \u00e0 certaines normes de s\u00e9curit\u00e9 (par exemple, PCI DSS, NIST, HIPAA). Des tests d’intrusion r\u00e9guliers peuvent vous aider \u00e0 v\u00e9rifier que vos applications Web respectent ces normes et \u00e0 \u00e9viter les sanctions en cas de non-conformit\u00e9.<\/li>\n<\/ul>\n
\u00c0 quelle fr\u00e9quence devez-vous pentester\u00a0?<\/h2>\n
De nombreuses organisations, grandes et petites, avoir un cycle de test de stylo une fois par an<\/a>. Mais quelle est la meilleure fr\u00e9quence pour les tests d’intrusion\u00a0? Une fois par an suffit-il ou faut-il \u00eatre plus fr\u00e9quent ?<\/p>\n
La r\u00e9ponse d\u00e9pend de plusieurs facteurs, notamment du type de cycle de d\u00e9veloppement dont vous disposez, de la criticit\u00e9 de vos applications Web et du secteur dans lequel vous \u00e9voluez.<\/p>\n
Vous devrez peut-\u00eatre effectuer des tests de p\u00e9n\u00e9tration plus fr\u00e9quents si\u00a0:<\/strong><\/p>\n
Vous avez un cycle de publication agile ou continu<\/h3>\n
Les cycles de d\u00e9veloppement agiles se caract\u00e9risent par des cycles de publication courts et des it\u00e9rations rapides. Cela peut rendre difficile le suivi des modifications apport\u00e9es \u00e0 la base de code et augmente la probabilit\u00e9 que des vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 soient introduites.<\/p>\n
Si vous ne testez qu’une fois par an, il y a de fortes chances que les vuln\u00e9rabilit\u00e9s ne soient pas d\u00e9tect\u00e9es pendant de longues p\u00e9riodes. Cela pourrait laisser votre organisation vuln\u00e9rable aux attaques.<\/p>\n
Pour att\u00e9nuer ce risque, les cycles de test d’intrusion doivent s’aligner sur le cycle de d\u00e9veloppement de l’organisation. Pour les applications Web statiques, des tests tous les 4 \u00e0 6 mois devraient suffire. Mais pour les applications Web qui sont mises \u00e0 jour fr\u00e9quemment, vous devrez peut-\u00eatre tester plus souvent, par exemple une fois par mois ou m\u00eame une fois par semaine.<\/p>\n
Vos applications Web sont critiques pour l’entreprise<\/h3>\n
Tout syst\u00e8me essentiel aux op\u00e9rations de votre organisation doit faire l’objet d’une attention particuli\u00e8re en mati\u00e8re de s\u00e9curit\u00e9. En effet, une violation de ces syst\u00e8mes pourrait avoir un impact d\u00e9vastateur sur votre entreprise. Si votre organisation d\u00e9pend fortement de ses applications Web pour faire des affaires, tout temps d’arr\u00eat pourrait entra\u00eener des pertes financi\u00e8res importantes.<\/p>\n
Par exemple, imaginons que le site de commerce \u00e9lectronique de votre organisation tombe en panne pendant une heure en raison d’une attaque DDoS. Non seulement vous perdriez des ventes potentielles, mais vous devriez \u00e9galement faire face au co\u00fbt de l’attaque et \u00e0 la publicit\u00e9 n\u00e9gative.<\/p>\n
Pour \u00e9viter ce sc\u00e9nario, il est important de s’assurer que vos applications Web sont toujours disponibles et s\u00e9curis\u00e9es.<\/p>\n
Les applications Web non critiques peuvent g\u00e9n\u00e9ralement \u00eatre test\u00e9es une fois par an, mais les applications Web critiques pour l’entreprise doivent \u00eatre test\u00e9es plus fr\u00e9quemment pour s’assurer qu’elles ne risquent pas une panne majeure ou une perte de donn\u00e9es.<\/p>\n
Vos applications Web sont orient\u00e9es client<\/h3>\n
Si toutes vos applications Web sont internes, vous pourrez peut-\u00eatre vous en sortir moins fr\u00e9quemment avec des tests d’intrusion. Cependant, si vos applications Web sont accessibles au public, vous devez faire preuve de plus de diligence dans vos efforts de s\u00e9curit\u00e9. <\/p>\n
Les applications Web accessibles au trafic externe sont plus susceptibles d’\u00eatre cibl\u00e9es par des attaquants. En effet, il existe un plus grand nombre de vecteurs d’attaque et davantage de points d’entr\u00e9e potentiels \u00e0 exploiter pour un attaquant.<\/p>\n
Les applications Web destin\u00e9es aux clients ont \u00e9galement tendance \u00e0 avoir plus d’utilisateurs, ce qui signifie que toute vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 sera exploit\u00e9e plus rapidement. Par exemple, une vuln\u00e9rabilit\u00e9 de script intersite (XSS) dans une application Web externe comptant des millions d’utilisateurs pourrait \u00eatre exploit\u00e9e quelques heures apr\u00e8s avoir \u00e9t\u00e9 d\u00e9couverte.<\/p>\n
Pour se prot\u00e9ger contre ces menaces, il est important de tester plus fr\u00e9quemment les applications Web destin\u00e9es aux clients que les applications internes. Selon la taille et la complexit\u00e9 de l’application, vous devrez peut-\u00eatre effectuer un test d’intrusion tous les mois, voire toutes les semaines.<\/p>\n
Vous \u00eates dans une industrie \u00e0 haut risque<\/h3>\n
Certaines industries sont plus susceptibles d’\u00eatre cibl\u00e9es<\/a> par des pirates en raison de la nature sensible de leurs donn\u00e9es. Les organisations de sant\u00e9, par exemple, sont souvent cibl\u00e9es en raison des informations de sant\u00e9 prot\u00e9g\u00e9es (PHI) qu’elles d\u00e9tiennent.<\/p>\n
Si votre organisation se trouve dans un secteur \u00e0 haut risque, vous devriez envisager d’effectuer des tests d’intrusion plus fr\u00e9quemment pour vous assurer que vos syst\u00e8mes sont s\u00e9curis\u00e9s et conformes \u00e0 la r\u00e9glementation. Cela vous aidera \u00e0 prot\u00e9ger vos donn\u00e9es et \u00e0 r\u00e9duire les risques d’incident de s\u00e9curit\u00e9 co\u00fbteux.<\/p>\n
Vous n’avez pas d’op\u00e9rations de s\u00e9curit\u00e9 interne ou d’\u00e9quipe de test d’intrusion<\/h3>\n
Cela peut sembler contre-intuitif, mais si vous n’avez pas d’\u00e9quipe de s\u00e9curit\u00e9 interne, vous devrez peut-\u00eatre effectuer des tests d’intrusion plus fr\u00e9quemment. <\/p>\n
Les organisations qui ne disposent pas de personnel de s\u00e9curit\u00e9 d\u00e9di\u00e9 sont plus susceptibles d’\u00eatre vuln\u00e9rables aux attaques.<\/p>\n
Sans \u00e9quipe de s\u00e9curit\u00e9 interne, vous devrez vous fier \u00e0 des testeurs de stylo externes pour \u00e9valuer la posture de s\u00e9curit\u00e9 de votre organisation.<\/p>\n
Selon la taille et la complexit\u00e9 de votre organisation, vous devrez peut-\u00eatre effectuer un test d’intrusion tous les mois, voire toutes les semaines.<\/p>\n
Vous vous concentrez sur les fusions ou acquisitions<\/h3>\n
Lors d’une fusion ou d’une acquisition, il y a souvent beaucoup de confusion et de chaos. Cela peut rendre difficile le suivi de tous les syst\u00e8mes et donn\u00e9es qui doivent \u00eatre s\u00e9curis\u00e9s. Par cons\u00e9quent, il est important d’effectuer des tests d’intrusion plus fr\u00e9quemment pendant ces p\u00e9riodes pour s’assurer que tous les syst\u00e8mes sont s\u00e9curis\u00e9s.<\/p>\n
Les fusions et acquisitions signifient \u00e9galement que vous ajoutez de nouvelles applications Web \u00e0 l’infrastructure de votre organisation. Ces nouvelles applications peuvent pr\u00e9senter des failles de s\u00e9curit\u00e9 inconnues susceptibles de mettre en danger l’ensemble de votre organisation.<\/p>\n
En 2016, Marriott a acquis Starwood sans savoir que des pirates avaient exploit\u00e9 une faille dans le syst\u00e8me de r\u00e9servation de Starwood deux ans plus t\u00f4t. Plus de 500 millions de dossiers clients ont \u00e9t\u00e9 compromis. Cela a plac\u00e9 Marriott dans l’eau chaude avec le chien de garde britannique ICO<\/a>, entra\u00eenant des amendes de 18,4 millions de livres au Royaume-Uni. Selon Bloomberg, il y a plus de probl\u00e8mes \u00e0 venir, car le g\u00e9ant h\u00f4telier pourrait “faire face \u00e0 jusqu’\u00e0 1 milliard de dollars d’amendes r\u00e9glementaires et de frais de justice”.<\/p>\n
Pour se prot\u00e9ger contre ces menaces, il est important d’effectuer des tests d’intrusion avant et apr\u00e8s une acquisition. Cela vous aidera \u00e0 identifier les probl\u00e8mes de s\u00e9curit\u00e9 potentiels afin qu’ils puissent \u00eatre r\u00e9solus avant la fin de la transition.<\/p>\n
L’importance des tests de stylo continus<\/h2>\n
Bien que les tests d’intrusion p\u00e9riodiques soient importants, ils ne suffisent plus dans le monde d’aujourd’hui. Alors que les entreprises s’appuient davantage sur leurs applications Web, les tests d’intrusion en continu deviennent de plus en plus importants.<\/p>\n
Il existe deux principaux types de test d’intrusion : limit\u00e9 dans le temps et continu.<\/strong><\/p>\n
Les tests d’intrusion traditionnels sont effectu\u00e9s selon un calendrier d\u00e9fini, par exemple une fois par an. Ce type de test d’intrusion ne suffit plus dans le monde d’aujourd’hui, car les entreprises s’appuient davantage sur leurs applications Web.<\/p>\n
Le test d’intrusion continu est le processus d’analyse continue de vos syst\u00e8mes \u00e0 la recherche de vuln\u00e9rabilit\u00e9s. Cela vous permet d’identifier et de corriger les vuln\u00e9rabilit\u00e9s avant qu’elles ne puissent \u00eatre exploit\u00e9es par des attaquants. Les tests d’intrusion continus vous permettent de trouver et de r\u00e9soudre les probl\u00e8mes de s\u00e9curit\u00e9 comme ils arrivent<\/em> au lieu d’attendre une \u00e9valuation p\u00e9riodique.<\/p>\n
Les tests d’intrusion continus sont particuli\u00e8rement importants pour les organisations qui ont un cycle de d\u00e9veloppement agile. \u00c9tant donn\u00e9 que le nouveau code est d\u00e9ploy\u00e9 fr\u00e9quemment, il y a plus de chances que des vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 soient introduites.<\/p>\n
- Conformit\u00e9: <\/strong>Selon votre secteur d’activit\u00e9 et le type de donn\u00e9es que vous traitez, vous devrez peut-\u00eatre vous conformer \u00e0 certaines normes de s\u00e9curit\u00e9 (par exemple, PCI DSS, NIST, HIPAA). Des tests d’intrusion r\u00e9guliers peuvent vous aider \u00e0 v\u00e9rifier que vos applications Web respectent ces normes et \u00e0 \u00e9viter les sanctions en cas de non-conformit\u00e9.<\/li>\n<\/ul>\n