Un pentest web doit-il toujours être réalisé par un prestataire PASSI ?
Non, un pentest web ne doit pas toujours être réalisé par un prestataire PASSI. Cette qualification peut être exigée par un régime applicable ou par un contrat ; il faut donc vérifier les exigences qui concernent votre mission. Lorsqu’elle est requise, contrôlez le prestataire, l’activité qualifiée et la validité de la qualification. Un modèle de rapport, même détaillé, ne prouve aucune qualification du prestataire qui le présente. Il sert à comprendre la forme des livrables et les informations attendues. Le choix doit ainsi s’appuyer sur les exigences applicables au périmètre, sans déduire une qualification de la présentation commerciale.
En pratique
- Vérifier les exigences du régime applicable et du contrat.
- Distinguer l’utilisation des référentiels ANSSI d’une qualification PASSI, puis vérifier le titulaire, l’activité et la validité si elle est exigée.
- Utiliser le modèle de rapport pour examiner les livrables attendus.
Mis à jour le
Retrouvez le périmètre et les livrables dans notre page consacrée à la structure du rapport de pentest web.
Échanger sur votre besoin