Livrables
Ce qui vous reste après la mission
Le rapport est le produit de la prestation. Il doit être compréhensible par une direction, exploitable par une équipe technique, et suffisamment précis pour être rejoué lors d'un retest.
Rapport technique
Le document principal. Pour chaque constat : description du mécanisme, chemin d'exploitation reproductible, preuves associées, systèmes affectés, impact métier, criticité argumentée et recommandation de correction adaptée à votre environnement.
Synthèse pour la direction
Quelques pages sans jargon : niveau d'exposition constaté, scénarios de risque réalistes, ce qui doit être décidé et arbitré. Rédigée pour être présentée en comité, sans réécriture.
Plan de remédiation priorisé
Les actions correctives ordonnées par effet réel sur le niveau de risque, avec l'effort estimé et les dépendances. L'objectif est de savoir par où commencer, pas d'obtenir une liste de cent points.
Journal d'actions
L'ensemble des actions significatives, consignées dans l'ordre chronologique avec le système ciblé et l'opération réalisée. Permet de distinguer les actions de test d'une activité malveillante réelle et de rejouer les scénarios lors d'un retest.
Restitution orale
Séance technique avec les équipes qui appliqueront les correctifs, et présentation à la direction lorsque c'est pertinent. Les échanges qui suivent directement cette séance font partie de la prestation. L'appui dans la durée relève de l'accompagnement à la remédiation.
Attestation de réalisation
Document attestant qu'un test a été mené sur un périmètre donné, à une date donnée, communicable à un client ou à un partenaire sans divulguer le contenu technique du rapport. Ce n'est pas une certification de sécurité.
Criticité
Échelle utilisée
La criticité est établie à partir de l'impact réel dans votre contexte et de la difficulté d'exploitation, et non du seul score standardisé. Le score CVSS est indiqué lorsqu'il apporte une information, jamais comme unique justification.
- Critique
Compromission du système d'information ou accès non autorisé à des données sensibles à grande échelle, exploitable sans prérequis significatif. Correction immédiate.
- Élevée
Compromission d'un système important, élévation de privilèges significative ou accès à des données confidentielles. Correction à court terme.
- Moyenne
Impact réel mais limité, ou exploitation nécessitant des conditions particulières. Correction planifiée.
- Faible
Impact marginal, ou constat contribuant à faciliter une attaque sans la permettre à lui seul. Correction opportuniste.
Une criticité n'est jamais gonflée pour donner du poids au rapport. Un rapport contenant peu de constats élevés est un bon résultat, pas un problème commercial.
Format et sécurité
Transmission et conservation
Le rapport est livré en français, au format PDF, et sur demande dans un format exploitable pour l'intégrer à votre suivi interne. Le contenu et le niveau de détail peuvent être adaptés à vos exigences de rédaction.
La transmission emprunte un canal convenu au cadrage. Les preuves et les données collectées sont conservées chiffrées pendant la durée définie contractuellement, puis détruites — la destruction vous étant confirmée.
Standard public, rapports confidentiels
Ce qui est public, c'est le standard : la structure du rapport, l'échelle de criticité et la liste des éléments remis, décrits sur cette page. Reconis ne publie ni ne communique les rapports clients à des tiers. Le rapport est le vôtre : vous restez libre de l'utiliser et de le transmettre selon vos besoins et vos obligations.
Un exemple de rapport fictif, sans données client, peut vous être transmis à l'issue d'un premier échange. Convenir d'un premier échange →
Le contenu exact du rapport dépend du type de mission et du périmètre retenu. Les deux se déterminent au cadrage.