Test d'intrusion d'ingénierie sociale

Définition

Le test d'intrusion d'ingénierie sociale désigne une catégorie de test d'intrusion ciblant le facteur humain d'une organisation plutôt que ses systèmes techniques, en évaluant la vigilance réelle des collaborateurs face à des tentatives de manipulation conçues pour obtenir un accès, une information sensible ou une action non autorisée, via des vecteurs variés incluant le phishing par email, l'appel téléphonique de prétexte se faisant passer pour un interlocuteur légitime, ou l'intrusion physique dans les locaux de l'organisation en se faisant passer pour un prestataire ou un employé légitime. Ce type de test nécessite un encadrement contractuel particulièrement rigoureux compte tenu de son impact potentiel sur des individus précis nommément identifiés, avec des limites claires sur les techniques autorisées, un engagement explicite de non-exploitation punitive des résultats individuels par la direction, et une procédure de gestion immédiate si un collaborateur exprime une détresse manifeste durant le déroulement du test, la dimension humaine de cette catégorie de test exigeant une vigilance éthique bien supérieure à celle d'un test purement technique. Les résultats doivent systématiquement déboucher sur une communication pédagogique bienveillante plutôt que stigmatisante envers les personnes ayant été trompées, et alimenter un programme de sensibilisation continu ciblant les populations et les vecteurs identifiés comme les plus vulnérables. Pour une organisation, ce test complète utilement les tests techniques en révélant des chemins de compromission entièrement indépendants de la robustesse des systèmes informatiques eux-mêmes.