De temps en temps, nous entendons dire que la méthodologie de recherche sur la sécurité de l’information avec valeur d’audit (MIAW) rendrait les tests d’intrusion (pen tests) plus coûteux. Mais est-ce vraiment le cas ? Je voudrais expliquer pourquoi MIAUW contribue à la transparence, à la qualité et, dans de nombreux cas, entraîne même des économies de coûts.

Qu’est-ce que MIAUW ?

MIAUW est une méthodologie structurée pour réaliser des tests d’intrusion (recherche technique en matière de sécurité). Là où le client ne sait souvent pas quoi demander ni comment obtenir de véritables conseils, MIAUW répond aux exigences d’achat et de recherche, en mettant l’accent sur la transparence, la reproductibilité et la valeur d’audit. Il fournit aux organisations un cadre clair pour planifier, réaliser et évaluer les tests d’intrusion, et garantit que tous les aspects clés d’une enquête de sécurité sont documentés. Ceci est essentiel pour se conformer aux législations telles que le RGPD, la directive NIS2 et le prochain Cyber ​​​​Resilience Act (CRA). Cette législation exige que les responsables de l’organisation (le directeur) démontrent que vous respectez la législation.

MIAUW ne rend pas les enquêtes de sécurité plus coûteuses

MIAUW ne rend pas les enquêtes de sécurité plus coûteuses, mais contribue à garantir la conformité

Frais

Parfois, des voix en colère prétendent que cela augmenterait le coût des tests d’intrusion. Mais d’où vient cette idée ? Cet argument repose sur un certain nombre de malentendus. C’est pourquoi je voudrais expliquer les aspects financiers de MIAUW :

  1. Plus d’obligations ne signifie pas toujours des coûts plus élevés. MIAUW nécessite de tester les normes de sécurité de base. Si cela rend le produit plus cher, qu’est-ce qui a été testé auparavant ? Moins de? Pas les bases ? Un pen test sans ces vérifications de base est tout simplement incomplet. Malheureusement, il existe plusieurs exemples connus d’enquêtes techniques de sécurité menées peu de temps avant qu’un incident ne se produise. L’attaque n’était ni grandiose ni convaincante, mais simplement basée sur l’essentiel, qui n’avait pas été contrôlé.
  2. La réutilisabilité ne le rend pas plus cher, mais permet de réduire les coûts. MIAUW propose des tests de stylet réutilisables. En utilisant le rapport d’un auditeur, une organisation peut démontrer qu’un test antérieur est fiable. Cela évite de devoir tester encore et encore le même logiciel.
  3. Un travail structuré est un travail efficace. Une approche structurée telle que MIAUW garantit que rien n’est oublié. Cela conduit à un travail plus efficace et à moins de risques d’erreurs, ce qui permet finalement de réduire les coûts. Les tests non structurés nécessitent davantage d’efforts pour obtenir le même résultat, voire pire : ne pas effectuer de recherches importantes.
  4. Les coûts d’un rapport d’audit sont limités, mais leur valeur est grande. Le rapport d’un auditeur coûte un peu plus cher, mais offre beaucoup de valeur. Il fournit un aperçu clair et fiable au niveau administratif et évite des discussions fastidieuses.
  5. Modèles et documents gratuits. Tous les modèles et la documentation pour MIAUW sont disponibles gratuitement. Il est disponible en open source. Cela réduit la barrière à l’entrée pour les organisations qui souhaitent appliquer la méthodologie. Vous n’avez pas non plus à payer par pentest lorsque vous l’utilisez. En tant que client, vous n’avez (espérons-le) pas à payer des frais que votre fournisseur ne supporte pas.
  6. Des outils pour accélérer le reporting. Des outils sont mis à disposition pour simplifier la préparation d’un rapport. Cela permet de gagner du temps et de minimiser la charge administrative. Par exemple, nous avons récemment entendu dire que créer un aperçu des fichiers disponibles avec une somme de contrôle (numéro de contrôle) augmenterait le prix. Ce sont justement des choses qui sont très faciles à automatiser et ne font donc pas gagner de temps. Pour aider les fournisseurs qui trouvent cela compliqué, nous mettons à disposition un script pour supprimer cette complexité.

Pourquoi MIAUW permet réellement de réaliser des économies

Le cœur de MIAUW est d’assurer la clarté et la transparence. Cela évite la duplication du travail et garantit que les organisations savent exactement ce qui a été testé, comment cela a été testé et quels résultats ont été enregistrés. Cela permet de prendre des décisions plus éclairées et d’éviter des malentendus coûteux.

L’idée selon laquelle MIAUW rend les tests d’intrusion plus chers repose sur un malentendu. En réalité, MIAUW propose des tests de stylet structurés et transparents, qui augmentent la fiabilité et permettent de réaliser des économies à long terme. Les entreprises qui appliquent MIAUW gagnent en visibilité, contrôlent et réduisent leurs risques, conduisant finalement à une sécurité plus efficace et efficiente.