La surveillance continue des contrôles et un test d'intrusion ponctuel, réalisé une fois par an, ne font pas bon ménage. Un test manuel implique de définir le périmètre, d'attendre qu'un créneau se libère et de retarder la période d'audit prévue pour le rapport.
Les équipes choisissent Drata pour se préparer rapidement à un audit : les contrôles sont surveillés en continu et les preuves sont collectées automatiquement. Le test d'intrusion est le seul élément qui ne suit pas ce rythme. Et il ne reste qu'un instantané : dans notre rapport « State of AI in Pentesting », 76 % des dirigeants interrogés ont déclaré déployer des changements importants en production chaque semaine, voire plus souvent, mais seuls 21 % d'entre eux vérifient la sécurité à chaque mise en production.
Drata et Aikido comblent cette lacune. Les nouveaux clients de Drata peuvent désormais bénéficier d’un test d’intrusion basé sur l’IA « Aikido », comprenant des conclusions vérifiées, un rapport prêt à être présenté à un auditeur et des résultats synchronisés directement dans Drata.
Ce que Drata et l'Aikido font désormais ensemble
Aikido effectue les vérifications et génère les preuves étayant les contrôles techniques de Drata, notamment SOC 2, ISO 27001, PCI DSS (Payment Card Industry Data Security Standard), DORA (loi européenne sur la résilience opérationnelle numérique) et HIPAA. Les résultats, ainsi que les justificatifs qui les étayent, sont synchronisés dans Drata sans que personne n’ait besoin d’exporter un tableur. Il suffit d’apporter une modification dans « Aikido » pour que Drata se mette à jour automatiquement ; ainsi, la préparation de l’audit ne dépend plus du fait que quelqu’un se souvienne de le faire la semaine précédant l’audit.
Cette offre s'étend désormais spécifiquement aux tests d'intrusion. Chaque niveau Drata (Foundation, Advanced et Enterprise) comprend un test d'intrusion Aikido basé sur l'IA d'une valeur maximale de 4 000 $ (voir la section « Comment en bénéficier » pour plus d'informations).
Cette offre s'étend désormais aux tests d'intrusion. Les nouveaux clients de Drata, quel que soit leur niveau d'abonnement (Foundation, Advanced ou Enterprise), bénéficient de jusqu'à 4 000 $ de crédits gratuits pour les tests d'intrusion basés sur l'IA d'Aikido , ce qui suffit généralement pour un test d'intrusion standard d'une petite application. Les applications plus volumineuses permettent tout de même d'obtenir des résultats pertinents et il est possible d'ajouter des crédits pour une couverture complète. La configuration prend moins de 20 minutes, et environ un jour ouvré plus tard, vous recevez un rapport prêt à être présenté à votre auditeur. Voici un exemple de rapport afin que vous puissiez voir exactement ce que vous remettriez à votre auditeur.
Pourquoi le rapport est validé par un auditeur
Un test d'intrusion n'est utile que si l'auditeur l'accepte réellement. Les agents d'Aikido testent l'application, ses API et l'infrastructure sous-jacente comme le ferait un pentesteur humain. La différence réside dans ce qui se passe après la détection d'une vulnérabilité : un agent distinct l'exploite à nouveau avant même qu'elle ne soit signalée, de sorte que le rapport final présente une preuve de concept fonctionnelle plutôt qu'une hypothèse probabiliste.
Dans le même rapport mentionné ci-dessus, 40 % des dirigeants ont déclaré qu’ils se sentiraient plus à l’aise pour défendre, lors d’un audit, des preuves issues d’un système reproductible plutôt que la réputation d’une société spécialisée dans les tests d’intrusion (26 %), tandis que 34 % d’entre eux accordaient la même importance aux deux. Les auditeurs souhaitent de plus en plus voir le travail lui-même, plutôt que de se contenter de la parole de quelqu’un.
(À titre d'information, un test comparatif indépendant réalisé par Doyensec a révélé qu'Aikido identifiait 58 % de vulnérabilités vérifiées en plus que XBOW , pour un même niveau de prix. C'est bon à savoir si vous comparez directement des outils de tests d'intrusion, même s'il s'agit davantage d'une comparaison entre produits que d'une évaluation en vue d'une acceptation d'audit.)
La solution doit elle aussi être prouvée
Un auditeur ne se contente pas de constater qu'une faille a été identifiée. Il veut des preuves qu'elle a été corrigée. C'est là que la plupart des tests d'intrusion échouent discrètement : seuls 40 % des dirigeants déclarent procéder à un nouveau test rapidement après la correction, tandis que 42 % le reportent pour des raisons de coût ou de calendrier, souvent au-delà de la date limite fixée pour l'audit.
Chaque test d'intrusion basé sur l'IA proposé par Aikido dans le cadre de cette offre comprend 6 mois de retests illimités, ce qui permet de vérifier la correction dès la semaine de sa mise en place, sans avoir à attendre la prochaine intervention prévue.
Comment en bénéficier ?
Les nouveaux clients Drata ayant souscrit un forfait Foundation, Advanced ou Enterprise peuvent bénéficier d’un test d’intrusion IA « Aikido » en cliquant ici. Cette offre est valable dans les 3 premiers mois suivant la date de début de votre forfait Drata, ou pour les offres Drata actuellement en cours. Les clients existants d’ Aikido ne sont pas éligibles. Vous n’êtes pas encore client Drata ? Commencez par une démonstration pour en savoir plus.
C'est parti !
Les vérifications de conformité et les tests de sécurité finissent par suivre le même calendrier, au lieu d'avoir chacun le leur. Si vous souhaitez avoir une vision plus complète de ce que cachent ces chiffres, notre rapport « L'état de l'IA dans les tests d'intrusion » contient le reste des données.
