Règles d’engagement (périmètre et mandat)
rules of engagement · RoE · périmètre · mandat · mandat écrit · lettre d’autorisation · convention d’audit · scope
Document signé qui fixe ce qu’un testeur a le droit de faire : systèmes visés, dates, techniques permises ou interdites, contacts d’urgence et conduite à tenir en cas d’imprévu.
En pratique
Les règles d’engagement transforment une attaque en prestation légale. Elles sont signées par une personne habilitée à engager le propriétaire des systèmes ; un hébergeur ou un fournisseur SaaS doit aussi donner son accord pour ses propres infrastructures. Tout ce qui sort du périmètre reste une intrusion au sens de l’art. 323-1 du Code pénal. Le document précise aussi ce qui est exclu (par exemple le déni de service ou l’ingénierie sociale), les horaires et la procédure si une faille critique ou la trace d’une attaque réelle est découverte.
L’affaire « Bluetouff » (Cass. crim., 20 mai 2015, n° 14-81.336) rappelle qu’un accès techniquement ouvert ne vaut pas autorisation : un internaute qui avait téléchargé des documents accessibles sans mot de passe sur l’extranet d’une agence sanitaire publique a été condamné, notamment pour maintien frauduleux, parce qu’il avait continué après avoir compris que l’espace était protégé.
