Une mission de sécurité offensive engage la responsabilité du client et celle du prestataire. Notre méthode est conçue pour que chaque action soit autorisée, traçable et exploitable.
Objectifs, actifs, exclusions, fenêtre, contacts, critères d'arrêt. Le RoE est signé, hashé et acquitté.
Reconnaissance, analyse manuelle, outils encadrés. Chaque commande est validée contre le périmètre.
Constats triés, preuves reproductibles, CVSS, ATT&CK, remédiation et rapport FR/EN.
Débrief, retest, suivi des remédiations. Le client garde la main sur la fermeture.
Un pentest sans périmètre est un incident en attente. Avant la première requête, nous formalisons :
Chaque commande, sortie et artefact est horodaté et hashé. Le rapport inclut l'empreinte de la chaîne d'audit.
L'intégrité n'est pas une signature légale : pour un besoin contractuel fort, l'empreinte peut être ancrée dans un système externe.
Gouvernance, gestion des risques, notification des incidents sous 24 h. Les tests documentés et les retests constituent des preuves utiles.
Résilience opérationnelle, tests, TLPT. TIBER-EU est le cadre de référence ; le purple teaming est requis dans la version alignée sur DORA.
Attentes de gouvernance et de gestion des risques TIC. Nous produisons des constats et des plans d'action, pas une attestation de conformité.
SOW, RoE, DPA, acompte 50 %. Accès et contacts confirmés.
Revue du périmètre, canaux, fenêtre, critères d'arrêt, preuves attendues.
Reconnaissance, analyse, validation des constats critiques. Point quotidien si besoin.
Débrief, rapport, retest planifié, accès portail client.
Nous vous aidons à le définir avant de parler d'outils.