ISSAF

Définition

L'ISSAF, Information Systems Security Assessment Framework, désigne un référentiel méthodologique de test d'intrusion développé par l'Open Information Systems Security Group, structuré en phases détaillées allant de la planification à la remédiation, en passant par la reconnaissance, la cartographie, l'identification et l'exploitation des vulnérabilités par catégorie de système : réseau, système d'exploitation, application, base de données, sécurité physique. Sa particularité par rapport à d'autres référentiels est le niveau de détail technique fourni pour chaque phase, avec des sous-catégories par technologie testée, ce qui en fait historiquement un support pédagogique apprécié pour la formation des testeurs débutants. Le document n'a toutefois plus été mis à jour depuis de nombreuses années, ce qui limite sa pertinence directe pour les technologies récentes comme le cloud ou les conteneurs, et les praticiens actuels lui préfèrent généralement le PTES ou des combinaisons de référentiels plus vivants comme l'OWASP Testing Guide pour le web. Pour un auditeur ou un RSSI construisant une méthodologie interne, l'ISSAF reste néanmoins une ressource utile pour structurer une checklist exhaustive par type de système, à condition de la compléter systématiquement avec des sources à jour couvrant les technologies et les techniques d'attaque contemporaines absentes du document original.