Questions fréquentes
Vos questions sur Black Fox Security : NDA, types de contrats, méthodologies et guides de test, référentiels et certificats.
13 questions
Missions
Comment démarre une mission avec Black Fox, comment elle est contractualisée et ce que vous recevez.
Travaillez-vous avec des accords de confidentialité ?
Oui. Nous sommes stricts en matière de confidentialité et respectons l'image de votre entreprise. Nous pouvons signer un NDA avant même la première réunion ; envoyez-le-nous au préalable à contact@blackfox-security.com.
Quels types de contrats proposez-vous ?
Chaque entreprise a ses propres procédures et exigences, c'est pourquoi nous restons flexibles : contrats à prix forfaitaire (FFP, FPIF, FP-EPA), contrats en remboursement des coûts (CPFF, CPIF, CPAF, CPPC) et contrats en régie.
Comment démarre une mission ?
Par une réunion de lancement, en ligne ou en présentiel, pour comprendre vos exigences, vos contraintes et vos attentes. Nous vous envoyons ensuite une proposition commerciale adaptée au projet. Le travail commence dès que vous l'avez validée.
Que recevons-nous à la fin ?
Ce que nous avons convenu au départ : généralement des recommandations, un rapport métier avec une évaluation des risques et un rapport technique avec des preuves de concept. Nous présentons les résultats lors d'une réunion de restitution si vous le souhaitez, et recueillons votre avis avant de clôturer le projet.
Dans quelles langues travaillez-vous ?
Anglais, allemand et français.
Combien de temps dure une mission ?
Cela dépend du périmètre et de la rapidité avec laquelle nous obtenons les accès et les réponses. La proposition est accompagnée d'un planning daté, pas d'une estimation au jugé.
Tests
Méthodologies, guides de test et règles qui encadrent un test.
Quelle est la différence entre les tests en boîte noire, grise et blanche ?
Un test en boîte noire démarre sans aucune connaissance préalable de la cible, comme un attaquant externe. Un test en boîte grise part des connaissances d'un utilisateur, parfois doté de privilèges élevés, pour un effort plus ciblé. Un test en boîte blanche a accès à tout, y compris au code source, et donne la vision la plus complète. Nous nous adaptons à vos exigences.
Quels référentiels et guides de test pouvez-vous suivre ?
Celui que demande votre projet ou votre auditeur, entre autres MITRE ATT&CK, les guides OWASP (WSTG, ASVS, MASVS et MASTG), PTES, OSSTMM, ISSAF, NIST SP 800-115 et les recommandations PCI DSS sur les tests d'intrusion. Indiquez-le-nous lors du cadrage et le rapport en reprend la structure et les termes. Si rien de précis n'est exigé, nous utilisons notre propre méthodologie, FoxHunt.
Qu'est-ce que FoxHunt ?
FoxHunt est la méthodologie de test propre à Black Fox, utilisée lorsqu'un projet n'en impose aucune. Elle associe ce que les référentiels publics font bien à nos propres playbooks et vise trois choses : tirer le meilleur du temps dont dispose une mission, rendre chaque constat reproductible avec les étapes et les preuves qui le confirment, lui et sa correction, et rattacher chaque résultat aux exigences des normes et réglementations sur lesquelles vous rendez compte, par exemple ISO/IEC 27001, SOC 2, PCI DSS, NIS2 ou DORA, afin que le rapport serve aussi de preuve d'audit. Lorsque cela aide vos équipes de défense, les constats sont aussi rattachés à MITRE ATT&CK.
Conformité et certificats
Référentiels, certification et valeur d'un certificat Black Fox.
Avec quels référentiels de sécurité travaillez-vous ?
Entre autres les normes ISO, NIST, COBIT et PSR, et nous adaptons nos tests et nos audits au RGPD, à HIPAA ou à HISO si nécessaire. La page des services présente chaque référentiel et chaque réglementation sur une page dédiée.
Pouvez-vous nous certifier ?
Non. Les certificats pour des normes comme ISO/IEC 27001 sont délivrés par des organismes de certification accrédités, les rapports SOC par des cabinets d'experts-comptables agréés (CPA) et les évaluations PCI DSS par des évaluateurs qualifiés. Nous travaillons avec des partenaires de certification de longue date et coordonnons l'audit avec eux ou avec un organisme de votre choix, pour que vous alliez de l'analyse d'écarts au certificat officiel dans une seule mission, puis nous vous aidons à conserver le résultat.
Qu'est-ce qu'un certificat de mission Black Fox ?
Un document attestant qu'une mission, comme un test d'intrusion ou un audit, a été menée à bien avec nous. Chacun peut le vérifier sur la page Vérification grâce à son identifiant. Ce n'est pas une certification de conformité ; le certificat officiel vient de l'organisme de certification.