Halo, des tests de sécurité menés proprement

Le principe est simple : sans signature, aucun test n'est lancé. Le formulaire d'autorisation décrit exactement ce que j'ai le droit de tester, sur quels biens, et pour combien de temps. La personne qui m'autorise reste maîtresse de tout.

Elle déclare être propriétaire des biens listés, ou avoir le pouvoir d'en autoriser le test. Elle peut révoquer cette autorisation à tout moment, par un simple message écrit. C'est elle qui décide, du début à la fin.

Tout ce qui n'est pas écrit dans l'autorisation est interdit. Le commanditaire liste précisément les biens inclus (un site, un serveur, un compte de test) et les biens exclus auxquels je ne touche jamais, par exemple une boîte mail principale ou des bases de données de production.

Une fenêtre de temps encadre l'ensemble : en dehors de cette période, l'autorisation ne s'applique plus. L'objectif est clair et unique, chercher les failles pour les corriger et mieux protéger.

• Ne tester que les biens listés comme inclus, jamais au-delà.
• Ne pas détruire, modifier ni rendre indisponible les données ou les services.
• Ne pas mener d'attaque par déni de service sans un accord écrit séparé.
• Arrêter immédiatement le test à la première demande du commanditaire.
• Remettre un rapport des failles trouvées, puis supprimer les données collectées.

Les éventuelles données personnelles rencontrées pendant les tests sont traitées dans le seul but de l'audit. Elles sont protégées, ne sont partagées avec personne, et sont supprimées au plus tard 30 jours après la remise du rapport.

Le commanditaire peut en demander la suppression à tout moment. Aucune donnée découverte n'est exploitée, conservée durablement, ni transmise à un tiers.

1. 01On définit ensemble le périmètre : biens inclus, biens exclus, fenêtre de temps.
2. 02Le commanditaire lit et signe l'autorisation, en connaissance de cause, après avoir sauvegardé ses données.
3. 03Je teste uniquement dans le cadre signé, et je m'arrête à la première demande.
4. 04Je remets un rapport des failles trouvées pour permettre les corrections.
5. 05Je supprime les données collectées, au plus tard 30 jours après le rapport.

La sécurité, ça se fait avec les gens, jamais dans leur dos. Halo prolonge ce qui me tient à cœur dans NoemaWorks : aider concrètement, surtout les personnes en difficulté, handicap, neurodivergence, entraide, sans jamais profiter d'une faiblesse.

Un test propre, c'est un test où la confiance est posée avant la première ligne de commande. Au sol, jamais à l'arrêt : je reste joignable, je documente, et je rends des comptes.