Pen testset audit de cybersécurité

Notre contribution

Notre équipe s’est appuyée sur une méthodologie en deux étapes menées en parallèle : audit par ateliers et tests d’intrusion. Tout d’abord, dès que le protocole d’intervention a été approuvé par le client, nous avons mené une série d’entretiens avec les équipes responsables des différents services. Ces ateliers nous ont permis de recueillir les données nécessaires sur la cybersécurité en tenant un registre complet des preuves fournies et en les classant.Pour compléter cette phase d’information, nous avons effectué des tests de défaillance afin de détecter les vulnérabilités susceptibles d’être attaquées. L’un des défis majeurs de ce mandat était l’importance de la confidentialité totale des données.

Nous avons évalué la posture de sécurité du client selon trois grands axes d’intervention. D’abord, par des rencontres avec les équipes opérationnelles pour analyser le déroulement de leurs activités quotidiennes. Ensuite, des rencontres avec les gestionnaires de services pour obtenir un portrait de la situation qui prévalait. Finalement, suite à différents incidents reliés à la cybersécurité, une compilation des résultats pour fournir au client un portrait des aspects positifs et des éléments à corriger pour améliorer la posture en cybersécurité de l’organisation et de ses nombreux réseaux régionaux.

Le rapport produit incluait un plan de remédiation, des indicateurs mesurables et des conseils pour l’optimisation de la structure opérationnelle. Les résultats ont été présentés à huis clos aux directeurs informatiques concernés, dont le dirigeant responsable. En raison de l’étendue du réseau et de l’importance de préserver la confidentialité des informations du client, nos spécialistes ont obtenu des sauf-conduit en cas de problèmes avec les responsables de la sécurité physique des différents établissements.

Les tests d’intrusion ont été effectués en mode «boîte noire », notamment par l’installation de sondes sur des postes de travail laissés sans surveillance ou encore des accès à des salles de raccordement. Une fois l’accès au réseau obtenu, le conseiller a procédé aux balayages ainsi qu’à l’évaluation des failles de sécurité.

Par la suite, la gravité des failles détectées a été évaluée selon les indices des référentiels CVSSet de l’OWASP.

L’exercice a été répété pour l’ensemble des réseaux internes et externes. Les équipements médicaux, pour des raisons évidentes de protection du public, ont été exclus de la portée.