L'Erreur qui peut te couter ton emploi : des pen testers en prison !

Mes amis, bien le bonjour. Je viens parler de responsabilité au travail aujourd'hui, un détail très important qui peut te faire perdre ton job si tu fais pas gaffe. Alors je vais rebondir d'abord sur une nouvelle, puis on va voir un petit peu sur le terrain ce que ça donne. Aux États-Unis récemment, il y a deux gars qui ont été poursuivis en justice, ils ont passé la nuit en prison. Voici pourquoi ils ont signé un contrat avec une administration étatique pour faire du pentesting. Ça ça signifie leur spécialité c'est la cybersécurité. Donc ils ont signé un contrat pour qu'ils cherchent dans les locaux, les sites web, les serveurs, les services de cette administration pour trouver des failles et après les signaler pour qu'elles puissent être réglées avant que des pirates ne les découvrent. Ils avaient un contrat en bonne et due forme, ils ont commencé à faire leur travail de pentesting, la police débarque, ils se font arrêter. Fini son tôle, ont été poursuivis. Ça a été un cauchemar pour eux. Finalement, ils ont été relaxés, mais ça restera dans leur casier judiciaire. Et je vais te dire un truc, aussi surprenant que ça paraît, il n'y a rien d'anormal dans ce qui est arrivé. Et on va en parler, je vais te donner 2-3 exemples pour que ça soit super clair. Si tu fais pas gaffe à ça dans le milieu corporate, t'es mort. Alors, avant d'aller plus loin, juste le parler très rapidement du sponsor de cette vidéo, Candy Boost de MayorJob. J'en ai parlé la dernière fois, ils sont spécialisés, c'est les rois de la candidature spontanée. Ils te permettent de trouver, ils ont une plateforme, tu rentres ton CV, une région géographique, un territoire que tu définis, et puis eux ils sont capables de trouver des offres d'emploi qui ne sont pas sur le marché et faire atterrir ton CV et ta lettre de motivation devant le recruteur. Il sait pas que tu as utilisé cet outil, donc c'est quelque chose de complètement transparent. Avec le— je te donne un voucher dans le commentaire épinglé et ça te permet d'obtenir 50% de réduction, de sorte que tu vas toucher le service à moins de 10 quoi. Vas-y mollo, n'envoie pas des tonnes, envoie un petit peu de CV durant le mois, c'est parlé de quelques jours et et ça va être, espérons-le, efficace. Revenons à notre histoire. Je te raconte une autre. Je travaillais dans le stockage de données pendant des années, données très critiques, d'accord? Les données, c'est le sang de l'entreprise. Donc c'est la chose la plus précieuse qu'une boîte puisse posséder. Alors je te disais, j'ai été contacté par un client qui voulait effacer des données. Ça signifie, il y a une baie de stockage avec beaucoup, beaucoup de disques, tu peux imaginer, armoire qui contient des teras et des teras de données critiques. Il voulait les effacer toutes. C'est bon, on n'a plus besoin de cette baie, on va la décommissionner. Ça arrive régulièrement dans les entreprises que, bon, soit ils achètent du matériel, soit ils décommissionnent du matériel existant en fin de vie. Et donc il voulait que je l'aide. J'ai dit bien sûr, je vais vous aider, c'est sûr, on va le faire, y a pas de problème. Mais ça a besoin de préparation. Nous sommes lundi, moi je pense que je peux le faire raisonnablement d'ici la fin de la semaine. Ce n'est pas quelque chose qu'on peut faire là immédiatement. Immédiatement, et puis je vais entamer une conversation avec vous pour qu'on fasse les préparatifs. Ce qu'il a fait, il m'a écrit un email, je lui ai répondu en mettant la terre entière en CC, N+1, N+2, département engineering, machin, tout ça. Je l'ai appelé en disant qu'il mette son manager aussi en CC et tout ça. Donc on a fini avec une boucle d'email à 15 personnes à l'intérieur. Pour qu'on valide la permission de part et d'autre de supprimer les données, à quelle date. Et puis veiller à ce qu'il comprenne, lui et tous les autres, que c'est irréversible. Ça peut sembler tout bête, mais je te raconte une histoire. J'ai un collègue qui avait été contacté par un client qui lui a dit «Oui, j'aimerais supprimer les données.» «Ah mais bien sûr, je peux t'aider.» Parce qu'en réalité, en réalité, de notre côté, techniquement parlant, c'était franchement, il y avait juste un menu caché, suffisait de rentrer un code, rentrer, sélectionner, clic, c'est parti. Ça prend 30 secondes, vraiment. Problème le gars qui lui a dit de le faire n'était pas autorisé à donner cette autorisation. Et oui, c'est comme ça. Ce n'est pas parce que quelqu'un travaille dans une entreprise que nécessairement il est l'alpha et l'oméga, ou il travaille vraiment pour cette entreprise. Il a un badge, il a un bureau, il y a son nom. Oui, oui, c'est vrai, c'est vrai tout ça. Mais ça peut arriver qu'il veuille faire des choses qui sortent de son domaine d'autorisation. Donc par exemple, mettons juste comme ça pour parler, mettons toi tu fais du pentesting, tu es un spécialiste de cybersécurité. Demain, il y a peut-être un directeur d'une agence du Crédit Lyonnais, n'est-ce pas, qui est dans un petit village. Il t'a à la bonne, il te contacte. Oui, tu peux nous faire un pentesting, tout ça. Bon, tu demandes un contrat. Bon bah, il va aller à l'imprimante te sortir du papier avec le Crédit Lyonnais, avec leur logo et tout, te le donner, c'est signé, ça a l'air carré. Ça ne l'est pas. Il n'a pas la permission de le faire de sa propre boîte. Donc si tu vas attaquer la banque en question, non seulement toi tu te retrouveras avec les gendarmes à la maison et lui se retrouve viré. Et après tu peux pas te cacher parce que tu vas dire «Oui mais moi il m'a dit». Ouais mais il t'a dit, il t'a dit, c'est pas parce que quelqu'un t'a dit que tu l'as fait. «Mais il travaille pour la boîte». Oui mais ça suffit pas. Travaille pour la boîte mais il était pas autorisé, il était pas habilité à faire. Il a outrepassé, il a outrepassé son rôle, il a outrepassé ses responsabilités. Tu vois le truc, c'est brutal quand même. Et ça il faut faire très attention donc. La leçon à retenir de tout ça, et c'est ce qui s'est passé avec ces Américains dont je t'ai parlé, c'est que quelqu'un d'une administration, c'était un tribunal en réalité, une cour de justice, quelqu'un avait voulu, a pris l'initiative de déclencher ce genre de test. Ah ben, ce quelqu'un, c'était pas son travail de le faire, il n'avait pas à le faire, de sorte qu'en réalité, le document qu'il a signé ne le couvrait pas. Effectivement, ils se sont retrouvés chez la justice. Et je te dis, c'est tout le temps, ça arrive souvent ça. Je connais plein de gens qui ont perdu leur travail à cause de ça. Donc toujours, s'il te plaît, pour tout ce qui est critique, tu fais 2 choses. Tu demandes à la personne si elle est habilitée à te permettre ou à prendre la décision ou traiter à ce niveau-là. Faut être carré. Si tu sens que tu as affaire à quelqu'un de junior ou t'es pas sûr, de toute façon c'est même pas nécessairement un junior qui fait ça, ça peut être quelqu'un de très senior, mais il est moins senior qu'il croit. Dans ce cas-là, tu demandes toujours des validations, tu demandes toujours une confirmation par écrit, tu veux voir des gens en CC. Ne traitez jamais avec une personne seule parce qu'avec une personne seule, le risque que tu te retrouves à te fourvoyer avec quelqu'un qui doit pas être là est très élevé. Mais plus tu mets de personnes en CC de son côté et du tien, plus après la responsabilité est partagée si jamais y a un problème. Généralement, quand il y a beaucoup de personnes, ce genre d'histoire n'arrive pas parce qu'il y en a souvent un qui va mettre le haut là, d'accord? Donc voilà, je voulais partager ça avec toi parce que les temps sont durs et c'est déjà difficile de trouver un travail, t'as pas envie de le perdre une fois que t'es dedans. Voilà mes amis, je vous laisse regarder notre sponsor Candy Boost, je vous laisse le commentaire épinglé qui vous permet d'obtenir ces 30% de réduction, ça peut toujours aider. À très bientôt!