Dans cet article, vous découvrirez comment fonctionne le score d'un audit et comment l'améliorer.SOMMAIRE
Comment fonctionne mon score d'audit ?
Présentation du score
Le score d'un audit est basé sur le CCWAPSS (Common Criteria Web Application Security Scoring), une méthodologie d'évaluation de la sécurité dédiée aux tests d'intrusion des applications web.
- Il est basé sur la formule suivante :
Score = 10 - ∑ Risques
Ainsi, le score d'un audit débute à 10 et diminue au fur et à mesure que des vulnérabilités à impact non nul sont identifiées.
- Le score maximal (10/10) signifie "conforme aux meilleures pratiques".
Comprendre le facteur de risque
Pour déterminer le facteur de risque d'une vulnérabilité, l'auditeur doit répondre aux questions suivantes :
- La difficulté d'exploitation de cette vulnérabilité est-elle triviale ou sophistiquée ?
- L'impact sur mon activité est-il faible ou important ?
Application concrète sur le Portail
Pour chaque vulnérabilité identifiée, des recommandations sont fournies pour les corriger.
Ces recommandations ont des impacts variables sur la note de l'audit (qui peuvent parfois être nulles mais qui restent intéressantes à mettre en place).
Par exemple :
- Un auditeur a trouvé la vulnérabilité suivante : "2020-Q1 - Un des champs de l'application Newsletter n'est pas validé et permet l'exécution de commandes SQL arbitraires pour accéder aux données en base", auquelle il a associé la recommandation "Utiliser des requêtes paramétrées pour prévenir l'interprétation de commandes SQL arbitraires".
- Cette recommandation a un impact de 3.
- Cela entraîne donc une réduction de 3 points du score tant que la recommandation n'est pas traitée.
Améliorer mon score d'audit
L'impact des recommandations
Toute recommandation avec un impact non nul entraînera une réduction du score d'audit.
Lorsqu'une de ces recommandations passe au statut Résolu ou Non Applicable, le score remonte automatiquement (visible dans l'onglet Historique de l'audit concerné).
La pastille Certified by XMCO
La note est certifiée à la publication des résultats (fin de l'audit initial) et à la fin du contre-audit, avec la pastille "Certified by XMCO".
Lorsqu'il n'y a pas de pastille affichée sur le score, c'est que les recommandations ont été mises à jour et donc qu'XMCO n'est plus garant de la note affichée. Il faut généralement attendre le contre-audit pour une nouvelle certification.
Cet article a-t-il été utile ?
C'est super !
Merci pour votre commentaire
Désolé ! Nous n'avons pas pu vous être utile
Merci pour votre commentaire
Commentaires envoyés
Nous apprécions vos efforts et nous allons corriger l'article