Audit Physique
L’auditeur teste ici la protection physique des locaux du client :
- Est-ce que tous les accès possèdent le même niveau de sécurité ?
- Est-ce que certains employés sont à même de permettre à un attaquant d’entrer dans les bâtiments ?
- L’attaquant peut-il accéder au réseau interne sans être repéré ?
Ce type de pentest particulier est suivi dans la plupart des cas par un audit interne permettant de démontrer l’impact final d’un accès non autorisé au Système d’Information.
Une phase de reconnaissance préalable est nécessaire à l’intrusion afin de créer un scenario plausible : identification des accès grâce à l’imagerie satellite, recherche d’informations sur les employés et les prestataires.
Dans quels cas choisir le test d’intrusion physique ?
Ce type de test d’intrusion permet de simuler les menaces suivantes :
- Espionnage industriel.
- Piratage à des fins financières (chantage, rançon…).
Tester les mesures de sécurité physique en place ainsi que le degré de sensibilisation des employés.
Modalités de la prestation
Une réunion d’initialisation permet d’identifier les besoins et le périmètre de la mission, ainsi que ses éventuelles contraintes.
Un mandat juridique entre les différentes parties est édité afin d’autoriser l’intrusion par DSecBypass.
Le consultant en charge de la mission est joignable à tout moment pendant son exécution et informe le client en cas de découverte critique.
Résultats du test d’intrusion
Les livrables de la mission comprennent un rapport ainsi que deux restitutions optionnelles.
Le rapport inclut une synthèse des résultats ainsi que le détail des vulnérabilités et préconisations identifiées.
La restitution technique est l’occasion pour le consultant d’exposer sa démarche et ses résultats de manière interactive, et d’échanger avec le client et ses équipes sur le plan d’action. La restitution managériale permet d’adresser un public exécutif.
