Semaine 13 — Rapport et recommandations

Objectifs pédagogiques

• Structurer un rapport lu par des publics différents : direction, équipe technique, audit.
• Écrire des constats reproductibles et des recommandations applicables.
• Prioriser sur base de l'impact métier, pas seulement du CVSS.

Structure de référence

1. Résumé exécutif — 1 à 2 pages, sans jargon, avec la conclusion en tête.
2. Périmètre et méthodologie — rappel du RoE, fenêtres d'intervention, outils utilisés.
3. Vue d'ensemble — carte de chaleur des constats, indicateur global de posture.
4. Constats détaillés — un par vulnérabilité, dans un gabarit constant.
5. Recommandations priorisées — regroupées par thème (identité, réseau, applicatif, cloud).
6. Annexes — journaux, requêtes, captures.

Gabarit d'un constat

Chaque constat suit exactement la même structure. La lisibilité vient de la répétition.

• Titre court — action + surface, ex. « Injection SQL sur /api/recherche ».
• Sévérité — P1 à P4, avec justification (impact réel, pas score brut).
• Contexte — ce que la cible fait, en une phrase.
• Preuve — requête envoyée, réponse observée, capture d'écran datée.
• Impact métier — ce qu'un attaquant obtient concrètement.
• Remédiation — action précise, testée si possible, effort estimé.
• Références — CWE, CVE, OWASP, documents client.

Ce qui rend un rapport professionnel

• Une remédiation par constat. Sans recommandation, ce n'est pas un rapport, c'est une liste.
• Des preuves reproductibles. Une capture d'écran ne suffit pas : donner la requête curl ou le pas-à-pas.
• Une hiérarchisation défendable. Le client doit pouvoir présenter votre P1 à sa direction et être compris.
• Pas de menaces implicites. On documente ; on ne fait pas peur pour vendre.

Début du TP3

Livrable final, à remettre en semaine 14 :

• Un rapport complet en PDF (20 à 30 pages), sur une mission simulée fournie.
• Au moins six constats, dont deux P1, deux P2, deux P3+.
• Un plan de remédiation à trois mois, six mois, douze mois.