Changements sur "CITÉ · Chercher les failles d'un système avant ceux qui les exploiteront, et rendre compte de ce qu'on trouve."
Corps du texte (Français)
-
+
Ce que cela veut dire concrètement. Soumettre un système à des cas qu'il n'a pas prévus, consigner ce qui casse, et transmettre ce constat à une personne nommée qui devra en faire quelque chose. Chercher la faille n'est pas un exploit technique : c'est un service rendu à ceux qui subiraient l'incident.
-
+
Déléguer, ou pas
-
+
- +
- Ce qui peut être délégué : produire des cas de test en masse, rejouer une attaque déjà documentée, mettre le rapport en forme.
- +
- Ce qui ne doit pas l'être : la décision de signaler, le choix du destinataire, et le refus d'exploiter ce que l'on a trouvé. Ces actes engagent celui qui les pose ; un système ne peut pas être tenu à une obligation de loyauté.
- +
- Ce qui se dégrade si on le délègue : le signalement perd son destinataire responsable. Une alerte que personne ne porte n'oblige personne à répondre, et le rapport devient une formalité archivée.
- +
- S'acquiert avec ou sans assistance : avec, pour l'outillage ; sans, pour le réflexe initial — se demander, devant un dispositif qui fonctionne bien, « et si je le poussais là où cela fait mal ? ».
- +
Comment on le voit
On confie à un groupe un service en ligne réel et la consigne « trouvez ce qui peut mal tourner pour un usager ». On observe ce qu'il consigne, à qui il adresse son constat, et ce qu'il décide délibérément de ne pas faire de sa découverte.
La question qu'on vous pose
Quand la faille se trouve chez celui-là même qui a déployé le système, à qui l'adressez-vous ? Existe-t-il, dans votre établissement ou votre organisation, un endroit où cela s'adresse ?
Titre (Français)
- +CITÉ · Chercher les failles d'un système avant ceux qui les exploiteront, et rendre compte de ce qu'on trouve.