Comment définir la portée d'un test d'intrusion en fonction du risque ?

Le cadrage commence par ce qui compte le plus : systèmes critiques, données sensibles, parcours métier à forte valeur et activités qui ne peuvent pas subir d'interruption. Ensuite, on identifie les chemins d'attaque probables : exposition externe, surfaces d'authentification, privilèges, tiers, et vecteurs utilisateurs comme le phishing.

Une portée basée sur le risque précise ce qui est inclus/exclu, les techniques autorisées, les contraintes de sécurité (fenêtres, limites de charge, actions interdites) et les circuits d'escalade. Cela rend le test focalisé et utile plutôt que large et imprévisible.

Enfin, une portée claire protège les deux parties : elle réduit le risque opérationnel, renforce la conformité légale/éthique, et améliore la valeur du reporting car les résultats se rattachent directement aux objectifs convenus.