Hackfest - Level UP

Intro: Cette présentation s'adresse à tous les profils, que vous soyez client qui paie pour des tests d'intrusion ou encore des professionnels qui offrent des tests, vous trouverez certainement des informations pertinentes.
Dans ce monde où les pentests semblent être quelque chose que toutes les organisations font, sans trop se poser de questions, il serait bon de se poser la question; "sont-ils vraiment pertinents et nécessaires".
Portrait de la situation: Basé sur mon historique personnel et mes observations, voici pourquoi les clients sont rarement satisfaits des pentests et pourquoi ils ne semblent jamais en avoir pour leur argent. Alors comment pouvons-nous expliquer que l'offre de pentests n'ait été aussi abondante.
Pourquoi: La question la plus importante et pourtant celle que l'on semble souvent négliger, c'est pourquoi? Pourquoi demandons-nous un pentest et pourquoi nous l'offrons à nos clients, le pentest est-il une véritable solution dans notre programme de sécurité organisationnel, est-il vraiment ce qui est requis en ce moment pour nos organisations. Quel sont les "red flags" qui indiquent, avant même le début d'un mandat, que notre test d'intrusion ne nous en donnera pas pour notre argent.
Solutions: À la suite de ce qui a été démontré depuis le début de la présentation, suite à cette remise en question, devrions-nous toujours demander des tests d'intrusion. Comment devrions-nous travailler avec nos partenaires, comment devrait être la relation client/testeur. Autant l'aspect technique qu'humain est d'une importance capitale lors d'un mandat de pentest et si un de ces deux aspects est négligé, les résultats en seront directement impactés. Après avoir identifié les aspects importants à respecter, nous explorerons certaines pistes qui aideront les parties prenantes à trouver une formule gagnant-gagnant.
Après les tests: Un élément souvent oublié, c’est l'après-test. Même si nous avons bien encadré nos tests d'intrusion et que nous sommes satisfaits des résultats, cela ne vaut rien si nous en restons là. L'après-test est un des éléments les plus importants, car la façon que nous traiterons la suite sera la principale clé du succès de notre mandat et malheureusement souvent le client est laissé à lui-même, ne sachant pas vraiment quoi en faire et par où commencer.