Pôle Cyber-opérations
Le travail qui suit le diagnostic et qui ne s'arrête plus : repérer ce qui est vulnérable dans votre parc, qualifier ce que chaque constat représente pour vos activités, décider de l'ordre de traitement, accompagner la remédiation et vérifier l'effet obtenu.
Le point de départ
La difficulté n'est presque jamais de produire de la donnée. Ce qui rend cette donnée décisive, c'est la couche de lecture posée par-dessus : quel constat mérite une intervention cette semaine, lequel peut attendre le prochain cycle.
Aujourd'hui
Une organisation qui subit ses risques numériques, sans visibilité sur son niveau d'exposition ni sur les priorités à traiter.
Après notre accompagnement
Une organisation capable de comprendre, maîtriser et piloter durablement ses risques. Chaque constat est rattaché à un système et à un métier, l'ordre de traitement est argumenté, et chaque action porte un responsable et une échéance.
L'enjeu tient en une phrase : passer d'une sécurité subie à une sécurité maîtrisée et pilotée.
Le geste central
Trois critères pèsent sur chaque constat. Croisés une seule fois, ils donnent un ordre de traitement que vous pouvez défendre devant un comité.
Sans ce croisement, un constat noté sévère sur un référentiel public passe devant un constat qui touche un service qui ne peut pas s'interrompre. Un export de scanner n'est pas une décision, c'est une matière première.
Le choix de forme
Les deux approches sont légitimes et se complètent souvent. Deux questions suffisent à trancher. Elles sont posées sous le tableau, avec la règle de lecture qui va avec.
| Critère | Audit ponctuel | Cycle de cyber-opérations |
|---|---|---|
| Le bon moment | Avant une décision structurante, une certification, une ouverture de service ou l'arrivée d'une nouvelle entité. | Quand votre activité dépend fortement du système d'information et que le parc évolue plus vite qu'une revue annuelle. |
| Ce que cela produit | Une vision objective à un instant donné, conclue par une remise de constats. | Un rythme installé : le parc bouge, les usages changent, de nouvelles faiblesses apparaissent, et la boucle les reprend au tour suivant sans relancer une mission complète. |
| Ce que cela engage chez vous | Une disponibilité de vos équipes concentrée sur la durée de la mission, puis la charge de mise en œuvre à porter. | Un temps de revue réservé à intervalle régulier, et un interlocuteur identifié pour arbitrer. |
Les deux formes ne s'excluent pas. Un audit établit le point de départ commun, un cycle prend le relais lorsque le volume de constats justifie un pilotage régulier et que les deux réponses le permettent.
Votre parc évolue-t-il plus vite que le rythme auquel vous le réexaminez ? Services ouverts, entités intégrées, environnements cloud ajoutés, applications remplacées, prestataires raccordés.
Si la réponse est oui, un état des lieux posé une fois vieillit plus vite qu'il n'est renouvelé, et les arbitrages qui s'appuient dessus portent sur un système qui a déjà changé de forme.
Avez-vous un interlocuteur disponible pour arbitrer à intervalle régulier ? Le cycle suppose quelqu'un qui tranche entre deux priorités concurrentes et qui porte la décision devant les métiers.
Sans cette personne, le cycle produit des constats qualifiés que personne ne convertit en actions, et l'effort de qualification est perdu.
Deux oui : le cycle est la bonne forme, et un audit en pose le point de départ. Deux non : un audit ponctuel suffit, la question se reposera dès qu'une réponse changera. Un oui et un non : commencez par l'audit, et traitez la réponse manquante comme un prérequis. Désigner l'arbitre passe avant toute question d'outillage.
Un audit se conclut par une remise de constats, le cycle installe un rythme. Détecter, qualifier, prioriser, remédier, vérifier. Chaque temps rend un résultat que le suivant reprend, et la vérification renvoie à la détection plutôt que de clore la mission.
Ce que le cycle installe
Détecter : un inventaire des constats, à jour, sur un périmètre que vous avez validé. Qualifier : une liste nettoyée, où chaque ligne a un sens pour quelqu'un dans l'organisation. Prioriser : un ordre de traitement argumenté, opposable en comité de direction. Remédier : des actions engagées, avec un responsable et une échéance. Vérifier : une mesure du progrès réel, et non une case cochée.
Le risque zéro. Notre objectif n'est pas de le promettre, c'est de vous permettre de connaître vos risques, de les réduire et d'être capables de réagir lorsqu'un incident survient. Pas davantage un montant annoncé avant que le périmètre ne soit posé avec vous.
Ce que recouvre le pôle
Une vulnérabilité, un incident et une crise ne se traitent ni au même rythme ni par les mêmes gestes. Trois domaines les couvrent.
Une vulnérabilité est une faiblesse technique ou de configuration qui permettrait d'agir sur un système au-delà de ce qui était prévu. Nous les identifions sur les serveurs, les postes, les applications et les environnements cloud, puis nous les qualifions une par une.
Le résultat n'est pas une liste brute : c'est un plan de remédiation ordonné, avec un responsable et une échéance par ligne. L'audit et le diagnostic qui en établissent le point de départ relèvent du pôle Risques IT.
Voir le pôle Risques ITLa supervision collecte en continu les traces laissées par vos systèmes et fait remonter ce qui sort de l'ordinaire. Ce dispositif porte souvent le nom de SOC : c'est une équipe et un outillage, pas un logiciel.
La partie la plus utile est rarement la détection elle-même : c'est la procédure qui dit qui fait quoi, dans quel ordre, quand une alerte est confirmée.
Voir comment cela se dérouleUn incident majeur ne se traite pas au même rythme qu'une vulnérabilité. Nous préparons ce moment en amont : rôles définis, chaîne de décision écrite, critères de déclenchement, canaux de communication de secours, exercices de mise en situation.
Le volet reprise des activités et redémarrage des services relève du pôle Cyber-résilience, avec lequel ce dispositif se construit d'un seul tenant.
Voir le pôle Cyber-résilience| Notion | La question à laquelle elle répond | Ce qu'elle ne dit pas | Ce qui arrive quand on la traite seule |
|---|---|---|---|
| Vulnérabilité | Quelle faiblesse existe sur le parc, et laquelle est réellement atteignable dans votre configuration. | Elle ne dit rien de ce qui se passe sur vos systèmes en ce moment. | Un inventaire qui s'allonge à chaque passage, jamais converti en ordre de traitement. |
| Incident | Ce qui sort de l'ordinaire dans les traces de vos systèmes, et ce qui se confirme. | Elle ne dit pas qui fait quoi, ni dans quel ordre, une fois l'alerte confirmée. | Une alerte qui arrive au bon moment, et une prise en charge rejouée de zéro à chaque fois. |
| Crise | Qui décide, sur quels critères de déclenchement, quand l'événement dépasse le cadre courant. | Elle ne dit pas comment les activités reprennent ensuite. | Une crise tenue jusqu'à la dernière décision, et un redémarrage des services que personne ne pilote. |
Ces trois domaines se mobilisent ensemble ou séparément, selon votre niveau de maturité et selon ce que vos équipes internes couvrent déjà. Nous vous aidons à construire le dispositif de supervision, ou à travailler avec celui que vous avez déjà.
Comment nous travaillons
Comprendre avant d'agir, prioriser avant d'investir, et transmettre les compétences pour vous rendre progressivement autonomes. Les quatre premières étapes posent le point de départ commun, les deux dernières sont celles où le cycle se met à tourner.
Écouter et comprendre
Diagnostiquer
Identifier et prioriser les risques
Construire la feuille de route
Mettre en œuvre et renforcer les compétences
Mesurer, améliorer et accompagner
Ce que vous gardez
Nous ne nous limitons pas à produire des rapports ou des recommandations. Voici ce qui reste chez vous, et qui continue de servir après notre départ.
La cartographie de votre exposition réelle : l'inventaire des systèmes couverts, des constats retenus et de ceux qui ont été écartés, avec le motif de l'écartement.
Des constats qualifiés et hiérarchisés, rattachés à un système, à un métier et à un niveau de gravité argumenté, pas seulement à un score issu d'un outil.
Un plan de remédiation priorisé selon l'impact métier, avec pour chaque action un responsable désigné, une échéance et un critère de vérification.
Des tableaux de bord de pilotage, avec les indicateurs que vous présenterez en comité, lisibles par une direction générale autant que par une équipe technique.
Une feuille de route avec des objectifs mesurables, ses jalons intermédiaires et les moyens associés, ajustable à chaque revue.
Les méthodes de qualification et de priorisation documentées puis expliquées à vos équipes, pour que le cycle tourne sans nous entre deux interventions.
Un dispositif de cyber-opérations ne vaut que par les personnes qui le font tourner. Les parcours de formation du cabinet couvrent la cybersécurité, la gouvernance, la gestion des risques, la conformité et le management de la sécurité. Vos équipes apprennent sur vos propres constats, dans votre propre environnement, avec les outils que vous venez de mettre en place.
Voir les parcoursCas client
Cas client, secteur logement
Grand groupe du secteur du logement, réparti sur plusieurs entités
Améliorer la visibilité sur les vulnérabilités du parc informatique, et structurer le traitement ainsi que le suivi des risques à l'échelle de plusieurs entités.
Mise en œuvre et administration des plateformes de gestion des vulnérabilités couvrant le parc et les environnements cloud. Analyse et qualification des vulnérabilités remontées, priorisation des risques, suivi des plans de remédiation, construction des tableaux de bord de pilotage.
Une meilleure visibilité sur l'exposition, une priorisation plus efficace de la remédiation et un pilotage plus structuré à l'échelle des entités.
Deux autres cas clients
Analyse des risques, accompagnement de la gouvernance sécurité et revue des exigences de sécurité applicative. Le volet gouvernance relève de notre pôle Conformité et gouvernance.
Audit indépendant du niveau de sécurité d'une plateforme numérique, constats qualifiés selon leur criticité, puis feuille de route priorisée selon criticité et impact métier.
Avant de nous appeler
Avant de signer
Une équipe interne connaît le parc et les usages mieux que n'importe quel intervenant extérieur. Notre rôle n'est pas de la remplacer, il est de rendre le cycle tenable pour elle. Ce qui reste chez vous : la connaissance des systèmes et des usages, la relation avec les métiers, la décision finale sur les arbitrages et l'exécution des correctifs. Nous ne prenons la main sur aucun de ces points. Ce que nous apportons : le temps dédié au cycle, celui que l'exploitation courante réclame en priorité dès qu'un arbitrage se pose, la méthode de qualification et de priorisation, l'administration de l'outillage, et le regard extérieur qui rouvre les questions dont la réponse semble acquise en interne. Ce qui se construit à deux : la revue régulière des constats et le format de restitution attendu par votre comité. C'est pendant ces séances que le transfert de compétences se joue réellement, bien plus qu'à la lecture d'un document.
Le coût dépend du périmètre, du nombre d'entités et du niveau d'accompagnement attendu, et ce périmètre se définit ensemble au premier échange. Nous annonçons le cadrage avant de chiffrer. Le retour se lit sur des arbitrages pris sur des faits plutôt que sur des impressions, sur un effort de remédiation concentré là où il compte, et sur des équipes capables de tenir le dispositif elles-mêmes.
Elles le sont si elles sont écrites à partir de votre contexte plutôt que d'un modèle. Avant d'inscrire une action dans un plan, nous vérifions qu'elle est techniquement réalisable sur votre configuration, qu'un responsable identifié peut la porter, et qu'elle tient dans vos fenêtres d'intervention. Sinon, elle est reformulée, remplacée par un contournement, ou assumée comme un risque laissé en l'état, avec la raison écrite.
Le point de sortie fait partie du cadrage. Nous disons dès le départ à quel moment notre présence n'a plus lieu d'être au même niveau, et ce que vos équipes doivent savoir faire pour que ce moment arrive. Ce que vous gardez est détaillé plus haut : la cartographie de votre exposition, le plan de remédiation et ses responsables nommés, les tableaux de bord de pilotage, et les méthodes que vos équipes appliquent ensuite sans nous.
Par ce qui se vérifie, pas par des adjectifs. Nous combinons expertise technique, gouvernance, gestion des risques et compréhension des enjeux métiers : un même constat n'a pas le même poids selon le processus qu'il touche, et c'est cette lecture croisée qui rend une priorisation défendable devant une direction générale. La mise en œuvre fait partie de la mission : nous restons pendant la remédiation, aux côtés de vos équipes et de vos prestataires, jusqu'à la vérification. Nous indiquons ce qui n'a pas pu être examiné et pour quelle raison, accès, fenêtre d'intervention ou périmètre exclu au cadrage. Et nous agissons à la fois sur la sécurisation de l'organisation, sur la structuration de sa gouvernance et sur la montée en compétence de ses équipes, pour laisser de quoi maintenir le niveau une fois la mission close.
Sur la méthode
Sur le champ des cyber-opérations, ce niveau se mesure, il ne s'estime pas. Il prend la forme d'indicateurs : la part de votre parc réellement couverte par la détection, le délai entre l'apparition d'un constat et sa qualification, et la proportion de constats prioritaires traités au cycle précédent. Établir ces mesures est le premier travail utile d'une mission : il suppose de figer le périmètre couvert, de définir ce qui compte comme constat qualifié et de désigner la source qui fera foi. Ce socle donne ensuite le point de comparaison de toutes les revues suivantes.
Il passe par une suite de gestes. Détecter : collecte continue sur le parc, les applications et les environnements cloud, complétée par les remontées de la supervision. Qualifier : nous écartons les faux positifs, ces alertes qui signalent une faiblesse inexistante ou déjà corrigée, nous rattachons chaque constat au système et au métier concernés, et nous vérifions qu'il est atteignable dans votre configuration. Prioriser : nous croisons les trois critères du schéma plus haut, gravité technique, impact sur l'activité et exigences applicables. Remédier : nous accompagnons vos équipes ou vos prestataires sur la correction, sur le contournement, ou sur la décision écrite de laisser un risque en l'état parce qu'il est jugé acceptable. Vérifier : nous contrôlons que la correction a produit l'effet attendu et qu'elle n'a rien dégradé ailleurs.
Un SOC, ou centre de supervision, de détection et de réponse, est l'ensemble formé par une équipe, des procédures et un outillage qui surveillent vos systèmes en continu. Le besoin se juge sur un critère simple : le degré de dépendance de vos activités à votre système d'information. Il peut être interne, externalisé ou mixte, et nous vous aidons à choisir la formule tenable pour vos effectifs.
En intégrant la sécurité, la gestion des risques et la conformité dès la conception des projets, plutôt qu'en correction après la mise en production. Concrètement, cela signifie des exigences de sécurité définies avec les équipes projet, des revues d'architecture aux bons jalons, et une couverture des environnements cloud dans le cycle de détection au même titre que le parc historique.
La décision de ne pas corriger s'écrit, avec le motif qui l'a fondée. Ce motif rejoint la cartographie que vous gardez, qui distingue les constats retenus de ceux qui ont été écartés. Un constat écarté y reste donc traçable, au même titre qu'un constat traité.
Non. Lorsqu'un outillage est déjà en place, nous partons de celui-là plutôt que d'en imposer un nouveau au démarrage : le cycle décrit sur cette page ne dépend d'aucune plateforme en particulier. Sur un périmètre réparti entre plusieurs entités, nous traitons en revanche la qualification des constats et le format de restitution comme un seul et même sujet, parce que des indicateurs construits différemment d'une entité à l'autre ne se comparent pas.
Le premier pas
Trente minutes pour comprendre votre contexte et vous dire par quel bout nous commencerions. Sans engagement, et sans devis à la clé si ce n'est pas le moment.
secfonops