Comment se déroule une mission

1. Cadrage

Le cadrage détermine la valeur de la mission. Un périmètre mal défini produit soit un rapport hors sujet, soit un incident d'exploitation.

Sont arrêtés à cette étape :

• l'objectif réel — obligation contractuelle, préparation d'une certification, doute sur une exposition précise, validation après une refonte ;
• le périmètre technique exact : adresses, domaines, applications, comptes fournis, systèmes explicitement exclus ;
• les scénarios retenus et le niveau de connaissance initial (boîte noire, grise, blanche) ;
• les plages d'intervention et les périodes interdites ;
• les actions interdites et les seuils de charge acceptables ;
• les contacts d'urgence, joignables pendant toute la durée de la mission ;
• la procédure d'arrêt immédiat, activable à votre demande à tout moment ;
• la procédure d'escalade en cas de découverte critique ou d'indice de compromission préexistante ;
• les modalités de transmission des livrables et la durée de conservation des preuves.

2. Autorisation

Aucune action technique n'est engagée avant la signature d'un mandat par une personne habilitée à engager l'organisation sur les actifs concernés. Ce document reprend le périmètre et les règles d'engagement.

Lorsque les systèmes sont hébergés ou infogérés par un tiers, son autorisation est également requise : les conditions contractuelles de la plupart des hébergeurs encadrent explicitement ce type de test.

Un accord de confidentialité est signé de manière systématique, y compris lorsque la mission ne se concrétise pas.

3. Reconnaissance

Cartographie du périmètre réel : services accessibles, technologies, versions, points d'entrée, informations publiquement disponibles exploitables par un attaquant. Cette phase révèle fréquemment des actifs que l'organisation ne savait plus exposés.

4. Analyse et exploitation

L'outillage automatisé sert à couvrir rapidement le périmètre. Il ne conclut rien : chaque piste est vérifiée manuellement, les faux positifs sont écartés et l'exploitabilité réelle est démontrée.

L'exploitation reste contrôlée : les actions destructrices sont exclues, et toute opération susceptible d'affecter la disponibilité d'un service fait l'objet d'une validation préalable selon les règles d'engagement.

Outillage, automatisation et assistance par IA

L'utilisation d'un outil ne modifie jamais le mandat. Les systèmes accessibles, les comptes utilisés, les permissions et les actions permises restent limités au périmètre convenu. Une action sensible ou susceptible d'affecter la production nécessite une validation humaine préalable.

Lorsqu'une assistance par IA est utilisée, elle reste un outil interne de travail. Les constats, preuves et recommandations sont revus par le praticien. Les accès aux outils ne sont ni partagés avec des tiers ni proposés comme un service en libre accès aux clients.

Aucun secret, donnée personnelle, code confidentiel ou rapport client n'est transmis à un service d'IA externe sans accord préalable et cadre contractuel adapté. Les reproductions sont réalisées en laboratoire lorsque cela permet de limiter l'impact sur les systèmes réels ; les opérations restent journalisées et peuvent être interrompues selon les règles d'engagement.

5. Post-exploitation

Un accès obtenu n'a de sens qu'évalué par ce qu'il permet. Cette phase mesure l'impact réel : mouvement latéral, élévation de privilèges, accès aux données sensibles, capacité de persistance — jusqu'à la limite fixée au cadrage.

C'est là que se distingue une vulnérabilité théorique d'un risque avéré pour votre organisation.

6. Journalisation des actions

Chaque action significative est consignée dans l'ordre chronologique : système ciblé, opération réalisée, résultat. Ce journal vous est remis avec le rapport.

Il sert trois usages :

• distinguer sans ambiguïté les actions de test d'une éventuelle activité malveillante concomitante ;
• mesurer la capacité de détection de vos équipes ou de votre prestataire de supervision, en recoupant avec vos propres traces ;
• permettre le rejeu exact des scénarios lors d'un retest.

7. Restitution

Le rapport est transmis par un canal convenu, puis présenté oralement : une restitution technique avec les équipes qui appliqueront les correctifs, et une synthèse orientée décision pour la direction lorsque c'est pertinent.

Détail des livrables et de l'échelle de criticité →

8. Après la mission

Les échanges qui suivent directement la restitution font partie de la prestation : un rapport que l'on ne peut pas discuter perd l'essentiel de son intérêt. L'appui dans la durée — arbitrage des options techniques, validation des correctifs au fur et à mesure — relève de l'accompagnement à la remédiation, et la vérification formelle des corrections d'un retest. Ces deux prestations se commandent et se facturent séparément.

À l'échéance convenue, les preuves et données collectées sont détruites, et la destruction vous est confirmée.