Semaine 2 — Planification et Rules of Engagement
Objectifs pédagogiques
- Définir précisément un test d'intrusion et le distinguer d'un audit de conformité.
- Rédiger un Rules of Engagement (RoE) exploitable, y compris dans un cadre légal contesté.
- Cartographier les exigences réglementaires susceptibles de s'appliquer (Loi 25, RGPD, PCI-DSS).
Pourquoi le RoE conditionne tout le reste
Un pentest sans RoE écrit est une intrusion illégale, quelle que soit la bonne foi de l'équipe. Le RoE est la seule pièce que vous pourrez présenter en cas de litige : il protège le client, l'équipe et vous.
Contenu minimal d'un RoE
| Section | Ce qui doit y figurer |
|---|---|
| Périmètre | Plages IP, sous-domaines, applications, comptes de test, exclusions explicites |
| Techniques permises | Web, réseau, ingénierie sociale, phishing, physique, DoS |
| Techniques interdites | Ex. : pas de DoS en production, pas de manipulation de données réelles |
| Fenêtres d'intervention | Dates et heures, y compris pour les tests bruyants |
| Contacts d'escalade | Nom, téléphone joignable 24 h, chemin d'urgence |
| Traitement des découvertes critiques | Ex. : arrêt immédiat + notification sous 2 h |
| Gestion des preuves | Où stocker, chiffrement, durée de conservation |
Cadres légaux et réglementaires
- Québec (Loi 25) / RGPD : toute donnée personnelle touchée par un pentest doit être documentée. Prévoir un accord de traitement avec le client.
- PCI-DSS : impose des tests d'intrusion réguliers pour les environnements de paiement.
- Contrats de sous-traitance : vérifier que le client a le droit d'autoriser les tests sur l'infrastructure (attention aux SaaS tiers).
Activité — Rédiger un RoE simulé
- Choisir un scénario : PME de e-commerce, hôpital, cabinet d'avocats.
- Remplir un RoE d'au moins deux pages couvrant les sections du tableau ci-dessus.
- Faire relire par un pair : chaque ambiguïté est un futur litige.
Erreurs fréquentes à éviter
- Un périmètre décrit oralement, jamais consigné.
- Aucune procédure en cas de découverte d'une intrusion préexistante (elle arrive).
- Fenêtres d'intervention sans marge : un scan qui déborde sort du contrat.