Pourquoi votre rapport de pentest finit dans un tiroir

J’ai vu des rapports de test d’intrusion remarquables sur le fond, remis à des organisations qui n’ont rien corrigé pendant dix-huit mois. Ce n’est pas de la négligence. C’est un problème de traduction.

Le score CVSS ne décide rien

Un rapport classique classe les vulnérabilités par score. C’est rassurant, reproductible, et à peu près inutile pour la personne qui doit arbitrer un budget. Un 9,8 sur un service interne que trois personnes peuvent atteindre pèse souvent moins qu’un 6,1 sur le portail que tous les clients utilisent.

La direction ne raisonne pas en score. Elle raisonne en conséquence, en probabilité et en coût du correctif. Un rapport qui ne fournit pas ces trois axes force le lecteur à faire lui-même la traduction — et il ne la fera pas.

Ce que je mets dans les trois premières pages

Rien de technique. Trois questions, trois réponses :

• Qu’est-ce qu’un attaquant peut obtenir aujourd’hui, concrètement ?
• Combien de temps lui faudrait-il, avec quel niveau de compétence ?
• Qu’est-ce qui change si vous corrigez les trois premiers points de la liste ?

Si ces trois réponses tiennent en une page chacune et se comprennent sans glossaire, le reste du rapport sera lu par les bonnes personnes.

Le détail technique reste entier

Cette simplification n’enlève rien à la partie technique. Les équipes ont besoin du chemin exact, des requêtes, des versions, des journaux horodatés. Ce détail vient après, dans un document que le développeur ouvre à la bonne section sans lire les cinquante pages précédentes.

Deux lectures, un seul document. C’est la structure qui fonctionne.

Classer par ce que le correctif empêche

Le tri final ne se fait pas par score mais par effet de blocage. Une correction qui coupe trois chemins d’attaque distincts passe devant une correction qui n’en coupe qu’un, même si son score est plus bas. C’est la seule hiérarchie qui a du sens pour quelqu’un qui doit choisir où mettre deux semaines d’effort.

Un rapport de sécurité n’est pas un inventaire. C’est un argumentaire.

Le test d’intrusion produit de la connaissance. Le rapport décide de ce qui arrive à cette connaissance. C’est souvent la partie la moins technique du mandat, et systématiquement celle qui détermine s’il aura servi à quelque chose.