NIST SP 800-115

Définition

Le NIST SP 800-115 désigne le guide technique publié par le National Institute of Standards and Technology américain intitulé Technical Guide to Information Security Testing and Assessment. Il structure les activités d'évaluation de la sécurité en trois grandes catégories complémentaires : les revues, incluant l'analyse documentaire et l'étude de configuration ; les tests techniques automatisés ou manuels, incluant le test d'intrusion et l'analyse de vulnérabilités ; et l'ingénierie sociale ciblant le facteur humain. Le document détaille pour chaque activité les techniques applicables, leurs prérequis, leurs limites et les livrables attendus, sans imposer un déroulé rigide comme le fait le PTES. Il reste une référence largement citée dans les cahiers des charges de test d'intrusion aux États-Unis et sert souvent de base normative pour les audits exigés par des réglementations sectorielles américaines. Pour les organisations et les auditeurs francophones, s'appuyer sur le NIST SP 800-115 en complément d'autres référentiels comme le PTES ou l'OWASP Testing Guide permet de structurer une méthodologie de test robuste et traçable. Le document insiste particulièrement sur la planification préalable, la coordination avec les équipes opérationnelles et la gestion des risques associés au test lui-même, des éléments souvent sous-estimés dans les prestations low-cost.