Cybersécurité
Savoir par où l’on entrerait chez vous
La sécurité ne se décrète pas, elle se constate. Nous cartographions ce qui est exposé, ce qui n’est plus à jour et ce qui n’a pas de sauvegarde — puis nous traitons dans cet ordre.
- Audit DevSecOps complet à partir de 8 000 € HT
- Rapport et recommandations actionnables en livrable
- Ou 1 000 € par jour, dégressif selon la durée
- Sans engagement de durée
Le principe
Trois questions avant toute dépense
Qu’est-ce qui est exposé ?
La première surprise d’un audit est presque toujours la même : des choses joignables depuis internet dont plus personne ne se souvenait. Une interface d’administration ouverte, un serveur de recette accessible, un vieux sous-domaine qui pointe encore quelque part, un accès de prestataire jamais révoqué.
On ne protège pas ce qu’on ne sait pas posséder. La cartographie de l’exposition — machines, services ouverts, comptes, accès tiers — précède tout le reste, et elle suffit souvent à fermer l’essentiel du risque.
Qu’est-ce qui n’est plus à jour ?
Les attaques qui réussissent exploitent presque toujours une faille connue et corrigée depuis des mois. Ce n’est pas un problème de sophistication, c’est un problème de délai : entre la publication d’un correctif et son application, l’écart se compte en semaines, parfois en années.
Deux réponses complémentaires. Réduire le délai, en outillant les mises à jour plutôt qu’en les confiant à la bonne volonté. Et couvrir l’intervalle : sur nos hébergements, une faille découverte est corrigée virtuellement par le pare-feu applicatif en attendant que le correctif soit appliqué.
Que se passe-t-il si tout est chiffré demain matin ?
C’est la question qui hiérarchise tout le reste. Un rançongiciel ne vole pas seulement les données : il chiffre aussi les sauvegardes qu’il trouve — et il les cherche, parce qu’il sait que c’est ce qui décide du paiement.
Une sauvegarde qui vit sur le même réseau que ce qu’elle protège n’en est pas une. La réponse est une copie hors de portée : répliquée hors de vos locaux, sur une infrastructure distincte, supervisée pour qu’un échec se voie.
Ce que nous ne vendons pas
Un produit. La sécurité d’un système d’information n’est pas un boîtier à installer : c’est une série de décisions — qui a accès à quoi, ce qui est exposé, ce qui est mis à jour, ce qui est sauvegardé et testé. L’audit produit un rapport et des recommandations actionnables, classées par ce qu’elles coûtent et par ce qu’elles évitent. Vous décidez ensuite.
L’audit
Ce que nous regardons
-
Surface exposée
Machines joignables, services ouverts, sous-domaines oubliés, interfaces d’administration accessibles. C’est là que se trouvent les surprises.
-
Accès et comptes
Qui peut faire quoi, avec quels droits, depuis quand. Les accès de prestataires et d’anciens collaborateurs sont le point le plus souvent négligé.
-
Versions et correctifs
Ce qui n’est plus à jour, ce qui n’est plus maintenu par son éditeur, et le délai réel entre la publication d’un correctif et son application chez vous.
-
Sauvegardes
Existent-elles, sont-elles hors de portée d’un chiffrement, et — la vraie question — ont-elles déjà été restaurées pour de bon ?
-
Défenses en place
Pare-feu matériels et applicatifs, sondes d’intrusion, filtrage de la messagerie, chiffrement des échanges. Ce qui est en place, et ce qui manque.
-
Chaîne de déploiement
Le volet DevSecOps : secrets dans le code, dépendances non vérifiées, environnements de recette exposés, droits des automates de déploiement.
Questions fréquentes
Cybersécurité : vos questions
Une autre question ? Le support répond directement, sans intermédiaire, de 9h à 12h et de 14h à 17h.
Combien coûte un audit ?
Un audit DevSecOps complet, avec rapport et recommandations actionnables en livrable, fait l’objet d’un forfait à partir de 8 000 € HT. Si le besoin est plus difficile à cadrer, le conseil se facture à partir de 1 000 € par jour, dégressif selon la durée, sans engagement.
Nous sommes une petite structure, est-ce pour nous ?
La taille ne protège de rien : les attaques les plus courantes sont automatisées et ne choisissent pas leur cible, elles balaient. En revanche le périmètre change beaucoup, et le conseil au jour permet de traiter l’essentiel sans engager un audit complet.
Quelle différence avec la sécurisation d’un site web ?
Le périmètre. Sécuriser un site, c’est le protéger lui : pare-feu applicatif, correction des failles, détection des fichiers compromis. Sécuriser un système d’information, c’est traiter tout le reste — postes, serveurs, messagerie, accès, sauvegardes — dont le site n’est qu’un élément.
Une sauvegarde suffit-elle contre un rançongiciel ?
Seulement si elle est hors de portée. Un rançongiciel cherche activement les sauvegardes sur le réseau, parce qu’il sait que c’est ce qui décide du paiement. Une copie répliquée hors de vos locaux, sur une infrastructure distincte et supervisée, est la seule qui tienne.
Faites-vous des tests d’intrusion ?
L’audit porte d’abord sur la configuration, l’exposition et les processus — c’est ce qui explique la grande majorité des incidents réels, et c’est moins coûteux à corriger. Si votre contexte demande un test d’intrusion en conditions réelles, dites-le nous : cela se cadre à part.
Sauriez-vous dire ce qui est exposé chez vous ?
Si la réponse demande réflexion, c’est déjà une réponse. Parlons-en : la cartographie est la partie la moins chère et la plus utile.