Audit PASSI dans les domaines Test d’intrusion et Audit du code source pour sécuriser une application Web, destinée au Ministère de la Transition Energétique et du Développement Durable, Département de la Transition Energétique à Rabat.

1. Objet de la prestation Le présent bon de commande a pour objet la réalisation d’une mission indépendante d’audit de sécurité et de test d’intrusion (Web Application Penetration Testing) portant sur une application Web destinée à être publiée et accessible depuis Internet. La prestation a notamment pour objectifs de : • Identifier les vulnérabilités techniques et fonctionnelles de l’application ; • Identifier les éventuelles mauvaises configurations susceptibles d’affecter la sécurité de l’application ; • Évaluer la robustesse des mécanismes d’authentification, d’autorisation et de gestion des sessions ; • Identifier les possibilités d’accès non autorisé aux données et aux fonctionnalités de l’application ; • Évaluer la résistance de l’application aux techniques d’attaque couramment utilisées contre les applications Web ; • Évaluer les risques liés aux API exposées par l’application, le cas échéant ; • Identifier les vulnérabilités susceptibles de permettre une compromission du système ou une élévation de privilèges ; • Évaluer l’impact potentiel des vulnérabilités identifiées ; • Fournir des recommandations de remédiation précises, adaptées au contexte technique de l’application et directement exploitables par les équipes concernées ; • Procéder, après mise en œuvre des mesures correctives, à la vérification de la résolution des vulnérabilités identifiées. L’objectif de la prestation est de fournir au Maitre d’ouvrage un niveau d’assurance suffisant quant au niveau de sécurité de l’application avant sa mise en production et son exposition sur Internet. 2. Référentiels et méthodologie La prestation devra être réalisée conformément aux bonnes pratiques de sécurité applicative et aux référentiels internationaux reconnus dans le domaine des tests de sécurité des applications Web. Le prestataire devra notamment s’appuyer sur les référentiels suivants : 2.1 OWASP Web Security Testing Guide (WSTG) Le OWASP Web Security Testing Guide (WSTG) constituera le référentiel principal pour la réalisation des tests techniques de sécurité de l’application Web. Les tests devront notamment couvrir, selon leur applicabilité au périmètre audité, les domaines suivants : • Information Gathering ; • Configuration and Deployment Management ; • Identity Management ; • Authentication ; • Authorization ; • Session Management ; • Input Validation ; • Error Handling ; • Cryptography ; • Business Logic; • Client-Side Testing ; • API Testing. 2.2 OWASP Application Security Verification Standard (ASVS) Le prestataire devra également prendre en considération OWASP Application Security Verification Standard (ASVS) 5.0.0 comme référentiel complémentaire pour l’évaluation des exigences de sécurité applicative. Les exigences pertinentes de l’ASVS devront être utilisées afin de compléter les contrôles et de permettre une appréciation structurée du niveau de sécurité de l’application. 2.3 Tests manuels L’utilisation d’outils automatisés est autorisée et recommandée pour certaines phases de l’audit. Toutefois, la prestation ne devra en aucun cas être limitée à l’exécution de scans automatisés de vulnérabilités. Le prestataire devra réaliser des tests manuels approfondis permettant notamment d’identifier : • Les vulnérabilités liées à la logique métier ; • Les défauts de contrôle d’accès et d’autorisation ; • Les possibilités de contournement des mécanismes d’authentification ; • Les possibilités d’élévation de privilèges ; • Les scénarios d’exploitation combinant plusieurs vulnérabilités ; • Les vulnérabilités spécifiques aux fonctionnalités et à l’architecture de l’application. 3. Périmètre de l’audit Le périmètre de la prestation porte sur : • L’application Web destinée aux citoyens, y compris, le cas échéant, ses interfaces, fonctionnalités authentifiées et API nécessaires à son fonctionnement. Le périmètre technique détaillé (URL, domaines, adresses IP, API, environnements et comptes de test) sera communiqué au prestataire avant le démarrage de la mission. 4. Protection des données et confidentialité Le prestataire devra : • Respecter la confidentialité de l’ensemble des informations communiquées ou obtenues dans le cadre de la mission ; • Signer un accord de confidentialité (NDA) ; • Mettre en œuvre les mesures nécessaires à la protection des données collectées pendant l’audit ; • Limiter la collecte et la conservation des données au strict nécessaire à la réalisation de la prestation ; • Ne conserver aucune donnée au-delà de la durée contractuellement définie ; • Ne transmettre aucune information à des tiers non autorisés ; • Assurer la protection et la sécurisation des rapports, preuves techniques et autres éléments recueillis dans le cadre de l’audit ; • Procéder à la suppression ou à la restitution des données et éléments de preuve à l’issue de la mission. Les éventuelles données à caractère personnel découvertes dans le cadre des tests devront être traitées conformément à la réglementation applicable en matière de protection des données à caractère personnel. 5. Livrables Le prestataire devra fournir au minimum les livrables suivants : 5.1 Rapport technique d’audit Un rapport technique détaillé présentant l’ensemble des vulnérabilités et faiblesses de sécurité identifiées au cours de l’audit. Pour chaque vulnérabilité, le rapport devra notamment préciser : • La description de la vulnérabilité ; • Le composant ou la fonctionnalité concernée ; • Le niveau de criticité ; • L’impact potentiel ; • Les éléments de preuve permettant de confirmer la vulnérabilité ; • Les conditions nécessaires à son exploitation ; • Le cas échéant, le référentiel ou la catégorie OWASP correspondante. 5.2 Rapport de remédiation Un rapport détaillé des mesures de remédiation recommandées pour les vulnérabilités identifiées. Les recommandations devront être : • Précises et directement exploitables ; • Adaptées à l’architecture et aux technologies effectivement utilisées ; • Hiérarchisées selon le niveau de criticité et le risque associé ; • Dépourvues de recommandations génériques ne permettant pas une mise en œuvre concrète. 5.3 Vérification des corrections Après mise en œuvre des mesures correctives, le prestataire devra procéder à une vérification de la correction des vulnérabilités identifiées (retest) et communiquer les résultats au Maitre d’ouvrage.