Lettre d'autorisation de test d'intrusion : contenu et modèle

Un mardi matin, l'hébergeur d'un cabinet de notaires de Québec suspend son site Web : ses systèmes ont détecté ce qui ressemble à une attaque. C'en est une, d'une certaine façon. C'est le test d'intrusion commandé par le cabinet, que personne n'avait annoncé à l'hébergeur.

L'histoire finit bien, parce que le cabinet avait une lettre d'autorisation signée et a pu la montrer en dix minutes. Sans elle, l'épisode aurait pu tourner au litige.

La lettre d'autorisation, parfois appelée règles d'engagement, n'est pas une formalité administrative. C'est le document qui transforme une attaque en service professionnel. Voici ce qu'elle doit contenir et comment la bâtir.

Pourquoi l'autorisation écrite est indispensable

Au Canada, l'article 342.1 du Code criminel fait de l'utilisation non autorisée d'un ordinateur un acte criminel passible d'un emprisonnement maximal de dix ans (texte à jour au 30 septembre 2026, selon le site de Justice Canada).

L'article vise quiconque, « frauduleusement et sans apparence de droit », obtient des services d'ordinateur, intercepte une fonction d'un ordinateur, utilise un ordinateur dans l'intention de commettre ces infractions ou un méfait concernant des données (art. 430), ou utilise un mot de passe d'ordinateur qui permettrait ces gestes. Or, un test d'intrusion fait précisément ce genre de choses : balayer, obtenir un accès, essayer des mots de passe.

Ce qui distingue le test de l'attaque, c'est le consentement documenté de la personne qui a le droit de le donner. La lettre protège aussi l'entreprise : c'est elle que vous montrez à votre hébergeur, à votre assureur ou à votre fournisseur TI quand une alerte se déclenche.

Cet article ne constitue pas un avis juridique : faites valider votre lettre par votre conseiller juridique.

Qui doit signer, et pour quels systèmes

La lettre doit être signée par une personne qui a l'autorité sur les systèmes testés : en général la direction générale ou un dirigeant mandaté par écrit, pas seulement la personne responsable des TI.

Le piège le plus fréquent : vous ne possédez pas tout ce que vous utilisez. Un manufacturier de la Beauce dont le pare-feu est géré par son fournisseur TI, dont le site est chez un hébergeur et dont la comptabilité roule dans un logiciel infonuagique ne peut pas, seul, autoriser des tests sur toute cette infrastructure. Il faut l'accord écrit de chaque tiers, ou le respect de ses règles publiées.

Excluez aussi par défaut :

• les appareils personnels des employés, sauf consentement ;
• le réseau d'un immeuble partagé ou d'un espace de travail collaboratif ;
• les systèmes d'une société mère ou d'un partenaire, sans son accord.

Le contenu de la lettre et des règles d'engagement

Une lettre d'autorisation complète répond à six questions : qui, quoi, quand, comment, jusqu'où et que fait-on des données. Le guide NIST SP 800-115 propose d'ailleurs un modèle de règles d'engagement pour structurer ces éléments.

• Parties et signataires : entreprise cliente, firme, noms et titres des signataires.
• Type de test : externe, interne, application Web, réseau sans fil, hameçonnage simulé. Notre article test d'intrusion externe ou interne aide à choisir.
• Portée précise : adresses IP et plages, noms de domaine, URL, applications, comptes de test fournis.
• Exclusions explicites : systèmes fragiles, téléphonie, systèmes de tiers non autorisés.
• Fenêtre de test : dates, heures, fuseau horaire, périodes interdites (paie, fin de mois, période des impôts).
• Techniques permises et interdites : déni de service, ingénierie sociale, accès physique, attaques de mots de passe, profondeur d'exploitation, déplacement latéral.
• Preuves sans copie : démontrer l'accès à des données sensibles sans les extraire.
• Adresses IP source des testeurs : pour distinguer le test d'une vraie attaque dans vos journaux.
• Contacts et escalade : deux personnes joignables de chaque côté, numéro d'urgence, procédure d'arrêt immédiat.
• Faille critique : avis immédiat, sans attendre le rapport.
• Données : chiffrement, accès limité, conservation courte, destruction attestée.
• Autorisations de tiers : hébergeur, fournisseur TI, fournisseurs infonuagiques, jointes en annexe.
• Livrables : rapport, présentation, retest, échéances.

L'ingénierie sociale mérite une mention à part. Si le mandat inclut des courriels d'hameçonnage simulés ou des appels, la lettre doit le dire noir sur blanc. Notre article sur la simulation d'hameçonnage explique comment l'encadrer.

Côté données, la Loi 25 s'en mêle : si la firme peut accéder à des renseignements personnels, l'article 18.3 exige un mandat écrit précisant les mesures de protection, une utilisation limitée au mandat et l'interdiction de conserver ces renseignements après le contrat.

Infonuagique : faut-il prévenir Microsoft, AWS ou Google ?

Les trois grands fournisseurs infonuagiques n'exigent pas d'approbation préalable pour la plupart des tests sur vos propres ressources, mais chacun impose des règles que la lettre doit citer.

Deux précisions de Microsoft Learn sont utiles pour une PME. D'abord, Microsoft n'accorde pas d'autorisation au nom du client : c'est à vous de documenter celle de la firme avant le début des tests. Ensuite, si un test légitime est signalé, Microsoft recommande de répondre avec l'autorisation du client et la description des activités prévues. Gardez donc la lettre à portée de main.

Pour Microsoft 365, ce sont les mêmes règles unifiées de Microsoft qui s'appliquent : on ne teste que son propre locataire. Et pour tous les autres fournisseurs (hébergeur Web, logiciel de comptabilité, gestion de la relation client), lisez leurs conditions : plusieurs interdisent le balayage sans accord préalable.

Modèle de lettre : la structure type

Voici une structure de lettre en une ou deux pages, plus des annexes, à adapter avec votre conseiller juridique et votre firme.

1. Titre et référence : « Autorisation de test de sécurité », numéro de mandat, date.
2. Déclaration : « Entreprise, représentée par nom, titre, qui déclare avoir l'autorité nécessaire, autorise firme et les personnes nommées à l'annexe A à effectuer les tests décrits ci-dessous. »
3. Objectif : en une phrase, ce que le test doit vérifier.
4. Portée (annexe A) : systèmes visés, adresses, URL, comptes de test, exclusions.
5. Fenêtre : dates et heures de début et de fin, fuseau horaire.
6. Règles d'engagement (annexe B) : techniques permises et interdites, profondeur d'exploitation, adresses IP source.
7. Communication : contacts, numéro d'urgence, mot de code d'arrêt, avis des failles critiques.
8. Données et confidentialité : protection, conservation, destruction et attestation.
9. Autorisations de tiers (annexe C) : copies des accords ou des politiques applicables.
10. Durée et révocation : date d'expiration ; révocation possible en tout temps par avis écrit.
11. Signatures : client et firme, avec date.

Notre exemple de rapport d'audit montre où la référence à la lettre d'autorisation apparaît dans un livrable. Une firme sérieuse vous proposera ce document d'elle-même ; si ce n'est pas le cas, notre guide pour choisir une firme d'audit vous dit quoi exiger d'autre.

Pour nos propres tests d'intrusion, la lettre d'autorisation est signée avant toute activité, sans exception.