Pular para o conteúdo principal

Rules of Engagement : le document qui rend votre pentest légal

· 4 min para ler
Haythem Rehouma
Haythem Rehouma
Formateur en cybersécurité offensive

Un pentest sans document écrit encadrant la mission n'est pas un pentest, c'est une intrusion. Cet article détaille ce qu'un document de Rules of Engagement (RoE) doit contenir, propose un modèle prêt à adapter, et pointe les erreurs qui reviennent le plus.

Pourquoi le RoE conditionne tout le reste​

Le RoE protège trois parties :

  • Le client, qui sait ce qui va être testé, quand, et à quel prix.
  • Le prestataire, qui a une trace écrite de son autorisation.
  • La personne qui exécute, qui pourra montrer un document opposable en cas de litige.

En cas d'incident (données touchées, service interrompu, découverte d'une intrusion préexistante), la première question posée sera : qu'est-ce qui était autorisé ? La seule réponse acceptable est un PDF signé, pas un fil de messages.

Contenu minimal — Neuf sections​

1. Identification des parties​

Noms officiels, adresses, représentants autorisés à signer. Un RoE signé par une personne sans autorité contractuelle n'a pas de valeur.

2. Périmètre​

Ce qui est dans le périmètre :

  • Plages IP publiques et privées, avec masques.
  • Noms de domaine et sous-domaines explicites.
  • Applications, chemins d'URL, endpoints API.
  • Comptes de test fournis (avec date d'expiration).

Ce qui est hors périmètre, énoncé explicitement :

  • Systèmes tiers hébergés par des SaaS que vous ne pouvez pas autoriser.
  • Environnements de production critique, sauf mention contraire.
  • Systèmes patrimoniaux avec risque de rupture.

Le périmètre doit être défini par écrit, pas décrit oralement ni « on verra ».

3. Techniques autorisées, techniques interdites​

Un exemple typique :

TechniqueStatut
Scans réseau (Nmap, --top-ports)Autorisé
Exploitation de vulnérabilités confirméesAutorisé
Attaques par déni de serviceInterdit
Ingénierie sociale par téléphoneAutorisé, avec préavis
Hameçonnage ciblé sur employésAutorisé, personnel de la direction exclu
Accès physique aux locauxInterdit
Modification de données réellesInterdit — utiliser des données factices

4. Fenêtres d'intervention​

  • Dates de début et de fin.
  • Créneaux horaires précis pour les tests bruyants (scans agressifs, force brute).
  • Marge de sécurité : un scan qui déborde d'une fenêtre sort du contrat.
  • Périodes noires (fermeture annuelle, ouverture d'exercice, jour de fin de mois).

5. Contacts d'urgence​

Nom, fonction, téléphone joignable 24 h, courriel. Deux contacts distincts, avec un chemin d'escalade explicite. Le RoE indique qui vous appelez si vous voyez passer une intrusion réelle.

6. Traitement des découvertes critiques​

Un pentest découvre parfois qu'un attaquant est déjà dans le système. La procédure doit être écrite :

  • Arrêt immédiat des tests offensifs.
  • Notification par téléphone au contact principal sous 2 heures.
  • Préservation des preuves sans intervention.
  • Basculement, si demandé, en mission d'incident-response (contrat séparé).

7. Gestion des preuves et des données​

  • Où les preuves sont stockées (poste chiffré, dépôt Git privé, coffre-fort).
  • Durée de conservation, procédure de destruction.
  • Traitement des données personnelles touchées incidemment. Sous Loi 25 (Québec) ou RGPD (UE), ces éléments doivent être documentés.

8. Livrables​

  • Rapport principal, format, langue, nombre de pages attendues.
  • Rapport de synthèse pour la direction.
  • Séance de restitution, date et durée.
  • Remise éventuelle des scripts et outils personnalisés.

9. Clauses de responsabilité​

  • Assurance responsabilité professionnelle du prestataire.
  • Limite de responsabilité en cas de rupture de service accidentelle.
  • Confidentialité mutuelle, durée post-mission.

Trois erreurs qui reviennent​

Erreur 1 : oublier les sous-traitants du client. Le client héberge son ERP chez un SaaS tiers. Le RoE ne mentionne pas ce SaaS. Vous scannez, le SaaS vous détecte, et c'est votre société qui est en défaut, pas le client.

Erreur 2 : marges de temps trop courtes. Une fenêtre « samedi 20 h à dimanche 2 h » vaut pour la nuit d'un weekend, pas pour les scans qui se relancent tout seuls. Prévoir 30 minutes de battement à chaque bout.

Erreur 3 : pas de procédure pour l'intrusion préexistante. Personne ne prévoit ce cas parce que « ça n'arrive jamais ». Il arrive statistiquement sur une mission sur dix.

Modèle simplifié — Prêt à adapter​

# Rules of Engagement — Mission d'intrusion

## Parties
- Client : ...
- Prestataire : ...
- Signataires autorisés : ...

## Périmètre
- Dans le périmètre : ...
- Hors périmètre : ...

## Techniques autorisées
- ...

## Techniques interdites
- Déni de service en production
- Modification de données réelles
- ...

## Fenêtres d'intervention
- Du ... au ...
- Créneaux bruyants autorisés : ...

## Contacts d'urgence
- Principal : ... (téléphone 24 h)
- Secondaire : ...

## Découverte d'une intrusion préexistante
1. Arrêt des tests.
2. Notification sous 2 h.
3. Préservation des preuves.

## Gestion des preuves
- Stockage : ...
- Destruction : ...

## Livrables
- Rapport principal : ...
- Synthèse direction : ...
- Restitution : ...

## Responsabilité
- Assurance : ...
- Confidentialité : ...

Signature client : ______________ Date : ______________
Signature prestataire : __________ Date : __________

Une dernière chose​

Le RoE n'est pas un document contre le client. C'est le document qui rend la mission possible. Un client qui refuse d'en signer un a compris qu'il vous ferait porter le risque. Ne travaillez pas sans.

Nous consacrons la semaine 2 du cours Tests d'intrusion à la rédaction d'un RoE simulé. Le cours est gratuit sur inscription et se termine par un quiz final délivrant un certificat vérifiable.