TP3 — Rapport de mission complet
Amorce en semaine 13 · remise en semaine 14
Contexte
Une mission simulée est fournie, avec RoE, cartographie initiale et journaux d'exécution. Vous n'exécutez pas de nouvelle attaque : vous rédigez le rapport final comme si vous aviez mené la mission de bout en bout.
Objectifs pédagogiques
- Assembler un rapport lu à la fois par la direction et par les équipes techniques.
- Prioriser sur base de l'impact métier, pas seulement du CVSS.
- Proposer un plan de remédiation crédible dans le temps.
Livrable attendu
Un rapport PDF de 20 à 30 pages, structuré ainsi :
- Résumé exécutif — 1 à 2 pages, sans jargon, avec la conclusion en tête et la carte de chaleur des constats.
- Périmètre et méthodologie — rappel du RoE, outils, fenêtres.
- Constats détaillés — six minimum, gabarit imposé (titre, sévérité, contexte, preuve, impact, remédiation, références). Répartition minimale : deux P1, deux P2, deux P3 ou plus.
- Plan de remédiation — actions à 3 mois, 6 mois, 12 mois, avec estimation d'effort et propriétaire suggéré.
- Annexes — sortie brute des scans, requêtes complètes, captures d'écran datées.
Grille de correction (100 points)
| Critère | Points |
|---|---|
| Résumé exécutif compréhensible sans jargon | 15 |
| Six constats respectant le gabarit | 30 |
| Répartition et cohérence des sévérités | 10 |
| Plan de remédiation à trois horizons | 20 |
| Qualité des preuves en annexes | 10 |
| Priorisation défendable | 10 |
| Clarté et présentation | 5 |
Standards de qualité
- Chaque constat a une remédiation testable.
- Chaque preuve est datée, identifiée, non truquée.
- Aucun outil « boîte noire » sans explication de ce qu'il fait vraiment.
- Le résumé exécutif tient debout sans les constats détaillés.