Que doit comprendre le périmètre ?
Deux devis ne sont comparables que s’ils couvrent le même travail. Pour un test d’intrusion fintech, énumérez les flux de paiement, les API multi-tenant et les identités cloud, et définissez également les rôles, les environnements et les opérations métier à tester. Précisez les preuves attendues, les actions interdites et si la demande inclut un nouveau test.
Associer les services à leurs dépendances
Une API marchande peut authentifier correctement l’appelant sans rattacher un objet à ce marchand. Un webhook peut être authentique et pourtant rejoué au mauvais état de transaction. Les tests doivent tenir compte des décisions métier attendues du produit, et pas seulement d’une liste d’URL de points de terminaison.
Répertoriez d’abord les services métier ou de soins, puis cartographiez les applications, les systèmes d’identité, les réseaux et les fournisseurs qui les prennent en charge. Consignez le responsable habilité à autoriser chaque composant. Le seul nombre de domaines ne permet de décrire ni les limites d’autorisation ni les conséquences opérationnelles.
Préparez les rôles et les données représentatives
Fournissez des identités dédiées, avec des rôles documentés et des autorisations attendues connues. Utilisez plusieurs locataires, clients ou unités organisationnelles lorsque les limites font partie de l’objectif. Étiquetez les objets leurres afin que les personnes chargées des tests et les responsables puissent les distinguer des enregistrements réels.
Sélectionnez les domaines d’évaluation
- Tests des API fintech et des frontières entre locataires : L’authentification peut réussir alors que l’autorisation échoue. Les rôles des commerçants, clients, partenaires et administrateurs doivent être explicitement rattachés à un locataire pour les requêtes courantes, les exports et les tâches asynchrones.
- Tests de la logique de paiement et de l’état des transactions : La répétition de requêtes, les requêtes en double, les approbations obsolètes et une séparation inadéquate des rôles peuvent compromettre l’intégrité des transactions, même si l’API ne présente pas de vulnérabilités d’injection courantes.
- Tests des identités cloud et des charges de travail fintech : Une application au périmètre restreint peut tout de même dépendre d’une identité de déploiement largement privilégiée. Les archives de build, les jetons de charge de travail et les rôles d’assistance des fournisseurs nécessitent des éléments probants sur les autorisations effectives et leur durée de validité.
Convenir des conditions de test
Utilisez des locataires dédiés, des données clients synthétiques et des circuits de paiement de test avec le règlement réel désactivé. Convenez des autorisations des systèmes partenaires, des limites de transaction, de la procédure de retour arrière et des fenêtres de mise en production. Les activités en production doivent avoir des responsables explicitement désignés et un canal d’arrêt clairement défini.
- Sources de test, destinations et interfaces autorisées désignées.
- Créneaux horaires, limites de débit et méthodes exclues approuvés.
- Consentement des tiers, contacts de contrôle et autorité habilitée à interrompre les tests.
- Responsabilités relatives à la gestion des éléments probants, au nettoyage, au reporting et aux tests de retest.
Rendre les changements visibles
Consignez les mises en production, les nouveaux parcours et les changements d’autorisations intervenus pendant le test. Si un parcours inattendu atteint un système situé hors du périmètre autorisé, suspendez le test et clarifiez le périmètre avec le décideur désigné. Mentionnez les dépendances non testées dans la déclaration finale de couverture.
Préparez un brief avant l’appel de cadrage
Commencez par le processus du produit, les limites entre tenants et les identités que l’évaluation doit mettre à l’épreuve. Consignez la manière d’observer une transaction de test sans déplacer de fonds réels de clients.
Utilisez le générateur gratuit de documents de définition du périmètre pour les tests d’intrusion fintech afin de consigner les objectifs, les domaines d’évaluation, les contraintes et vos préférences concernant le NDA. Examinez le périmètre proposé, puis envoyez-le directement à Atlant Security via le formulaire de contact.
