Pôle Cyber-résilience
Ce pôle regroupe les missions où l'on construit. Concevoir et renforcer vos architectures de sécurité, intégrer la sécurité dans vos projets de transformation numérique, mettre en place les dispositifs qui permettent à votre activité de tenir puis de reprendre.
Le point de départ
Cet écart n'est pas un problème de vigilance, c'est un problème de visibilité : personne ne peut arbitrer sur des sujets dont on ignore le poids réel.
Aujourd'hui
Une organisation qui subit ses risques numériques, sans visibilité sur son niveau d'exposition ni sur les priorités à traiter. Les décisions de sécurité se prennent au fil des alertes, des projets et des demandes, sans ordre défendable.
Après la mission
Une organisation capable de comprendre, maîtriser et piloter durablement ses risques. Plus résiliente, mieux gouvernée, plus conforme et surtout plus autonome. Les arbitrages se prennent sur des faits qualifiés, dans un ordre que vous pouvez expliquer à votre comité de direction.
De « nous savons que nous avons des risques » à « nous savons lesquels traiter, pourquoi et comment les réduire efficacement ».
Le geste central
Ce qui existe déjà, ce que vous lancez, et ce qui ne peut pas s'arrêter : comprendre, prioriser, agir. L'ordre dépend de la place de chaque système dans votre chaîne d'activité.
Un même défaut de configuration ne pèse pas le même poids selon ce qu'il porte.
Le parcours d'un projet
La trajectoire va du cadrage à l'exploitation. À chaque étape, la sécurité apporte quelque chose de précis.
| Moment du projet | Ce qui se décide | Ce que la sécurité apporte |
|---|---|---|
| Cadrage et conception | Le périmètre, les activités concernées et les données traitées. Puis l'architecture cible, l'hébergement, la gestion des identités et des accès. | Les exigences applicables, réglementaires et internes, posées avant le premier choix technique. Une revue d'architecture, et des options documentées avec leurs conséquences. |
| Réalisation et recette | Les composants, les configurations, les interfaces entre systèmes. Puis la recette, c'est-à-dire la campagne de tests qui précède la mise en production, et ce que l'on accepte de livrer. | Les exigences traduites en critères vérifiables, des revues de configuration, des tests ciblés et des écarts qualifiés selon leur criticité, c'est-à-dire selon leur poids réel sur votre activité. |
| Mise en service et exploitation | Le passage en production, puis le maintien en conditions de sécurité, c'est-à-dire le fait de conserver le niveau atteint à mesure que le système évolue. | Une décision documentée et des risques résiduels, ceux que l'on choisit de ne pas traiter à ce stade, acceptés explicitement par la bonne personne. Ensuite supervision, gestion des vulnérabilités et revue périodique. |
Une exigence posée au cadrage se vérifie à la recette. Une exigence oubliée se découvre à la mise en service, quand les marges de manœuvre sont les plus étroites. Intégrer la sécurité dès la conception ne ralentit pas un projet : cela déplace les décisions au moment où elles sont encore ouvertes.
C'est le moment où les choix deviennent structurants : les options y sont encore comparables entre elles, avec leurs conséquences.
Le bon moment est celui où une décision est encore ouverte. Une fois l'architecture figée ou le service en production, les mêmes exigences se traitent avec beaucoup moins de marge de manœuvre.
Les constats d'exploitation alimentent la conception du projet suivant. La mesure porte sur ce qui a été effectivement corrigé et sur les exigences reprises dans les projets suivants, pas sur le nombre de recommandations émises.
Une exigence posée avant le choix d'architecture est une exigence tenue. La même exigence posée après devient une demande de reprise, qu'il faut arbitrer contre le reste du plan de charge.
C'est la raison pour laquelle les deux versants sont décrits au même endroit. Une architecture n'est pas terminée quand elle est livrée : elle produit des vulnérabilités à qualifier et des arbitrages à tenir, qui relèvent du pôle Cyber-opérations.
La continuité ne part pas de vos serveurs, elle part de vos activités. Quelles activités ne peuvent pas s'arrêter, pendant combien de temps elles peuvent fonctionner en mode dégradé, c'est-à-dire avec des moyens réduits ou des procédures manuelles, et ce que cela impose concrètement à vos systèmes et à vos équipes.
Ce que la démarche demande
Les scénarios d'interruption retenus. Un plan de continuité d'activité, c'est-à-dire la manière de continuer à fonctionner pendant une interruption, et un plan de reprise, c'est-à-dire la manière de revenir à la situation normale. Les deux avec des rôles nommés, des seuils décidés à l'avance et un ordre de redémarrage établi.
Le risque zéro. Notre objectif est de vous permettre de connaître vos risques, de les réduire et d'être capables de réagir lorsqu'un incident survient. Nous réduisons les risques, nous renforçons la résilience, nous faisons progresser la maturité. Nous ne vendons pas de sécurité absolue.
Ce que recouvre le pôle
Selon votre point de départ, une mission commence rarement par les trois volets. Elle commence par celui qui vous manque. Les deux premiers relèvent de la construction, le troisième de ce qui doit tenir ensuite.
Concevoir, évaluer et renforcer les architectures, les infrastructures, les applications, les environnements cloud, c'est-à-dire vos services hébergés chez un fournisseur externe, et les dispositifs de protection. Nous examinons l'exposition externe, ce qui de vos systèmes est visible et joignable depuis internet, puis les configurations et les interfaces.
Une architecture correcte sur le papier et contournée au quotidien ne protège rien. Chaque choix technique est confronté à l'usage réel qu'en font vos équipes.
Voir le pôle Risques ITIntégrer la sécurité, la gestion des risques et la conformité dès la conception des projets. Cela vaut pour une migration vers le cloud, la refonte d'une application métier ou l'ouverture d'un service à des partenaires externes, et cela va du cadrage à la mise en service.
Les exigences sont traduites en critères vérifiables plutôt qu'en principes généraux, pour que vos équipes, vos prestataires et vos éditeurs puissent les tenir et que vous puissiez les évaluer dessus.
Voir le pôle Conformité et gouvernanceIdentifier les scénarios d'interruption et mettre en place des dispositifs de continuité, de reprise et de résilience. Nous partons de vos activités et non de vos serveurs, puis nous redescendons vers ce que cela impose à vos systèmes et à vos équipes.
Une activité qui ne peut pas s'arrêter et une activité qui peut fonctionner en mode dégradé n'appellent pas les mêmes dispositifs. C'est la durée acceptable qui commande le reste.
Voir le pôle Cyber-opérations| Notion | La question à laquelle elle répond | Ce qu'elle ne dit pas | Ce qui arrive quand on la traite seule |
|---|---|---|---|
| Continuité | Comment continuer à fonctionner pendant l'interruption, avec des moyens réduits ou des procédures manuelles. | Elle ne dit pas comment revenir ensuite à la situation normale, ni dans quel ordre. | Un fonctionnement dégradé que l'on sait tenir, et un retour à la normale que personne n'a ordonné. |
| Reprise | Quoi redémarrer, dans quel ordre et par qui, pour revenir à la situation normale. | Elle ne dit pas comment tenir l'activité pendant le temps de l'interruption. | Un redémarrage bien ordonné, précédé d'une interruption que personne n'a su tenir. |
| Résilience | Quelles activités ne peuvent pas s'arrêter, et ce que cela impose à vos systèmes et à vos équipes. | Elle ne dit pas quels rôles ni quels seuils seront tenus le jour où un service s'interrompt. | Une lecture juste des activités, sans les dispositifs qui la rendent tenable. |
Vous ne savez pas lequel des trois est votre sujet ? C'est souvent le signe qu'il faut commencer par une vision objective de l'existant.
Comment nous travaillons
Comprendre avant d'agir, prioriser avant d'investir et transmettre les compétences pour vous rendre progressivement autonome. La même méthode s'applique aux trois volets : l'audit n'y est qu'une étape sur six, et les trois dernières se situent après la remise des constats.
Écouter et comprendre
Diagnostiquer
Identifier et prioriser les risques
Construire la feuille de route
Mettre en œuvre et renforcer les compétences
Mesurer, améliorer et accompagner
Ce que vous gardez
Nous ne nous limitons pas à produire des rapports ou des recommandations. Nous cherchons à transformer nos analyses en actions concrètes et mesurables. Voici à quoi chaque pièce sert réellement.
Une cartographie de l'exposition, organisation, processus, systèmes, architecture, services accessibles, configurations et interfaces, pour savoir où vous en êtes sur des faits et non sur une impression collective.
Un registre des constats qualifiés selon leur criticité, chacun associé à sa recommandation et à son périmètre, pour arbitrer sur des éléments comparables et justifier ce que vous ne traitez pas tout de suite.
Une feuille de route priorisée selon la criticité et l'impact métier, avec des objectifs mesurables et une trajectoire adaptée à vos moyens : quoi faire, dans quel ordre, avec quels moyens, sur quelle durée.
Un dossier d'architecture de sécurité, les choix retenus, les options écartées et leurs raisons, les exigences applicables aux projets à venir, pour que les décisions tiennent après un changement d'équipe ou de prestataire.
Un dispositif de continuité et de reprise, les scénarios d'interruption retenus, les mesures associées, les rôles et les seuils, pour savoir quoi redémarrer et dans quel ordre.
Un tableau de bord de pilotage, alimenté au rythme de la feuille de route, pour mesurer les progrès et ajuster la trajectoire plutôt que de la refaire depuis zéro.
Nous ne résolvons pas un problème ponctuel. Nous transmettons aussi les compétences qui permettent de maintenir et de faire progresser votre niveau de maturité dans le temps. Les parcours de formation sont conduits sur vos sujets réels et sur votre architecture, pas sur des cas d'école.
Découvrir les formationsCas client
Cas client, secteur assurance
Acteur majeur de l'assurance
Les projets applicatifs avançaient à leur propre rythme, et les exigences de gouvernance, de risque et de conformité arrivaient trop tard pour peser sur les choix d'architecture. Il fallait que les deux se rejoignent au moment où les décisions sont encore ouvertes.
Écriture des exigences de sécurité applicables aux applications, puis revue de ces exigences projet par projet plutôt qu'une fois pour toutes. En parallèle, appui à la gouvernance de la sécurité et contribution à la cartographie des risques.
La sécurité est devenue un point de passage des projets plutôt qu'un contrôle en fin de parcours. Les équipes métiers, informatiques et sécurité ont partagé une même lecture des risques, ce qui a mis fin aux arbitrages menés en parallèle sur les mêmes sujets.
Deux autres cas clients
Regard indépendant sur une plateforme déjà en service : ce qu'elle laisse voir depuis internet, puis les services joignables, les réglages et les briques applicatives. Chaque écart a reçu un poids et une suite à donner. Cet amont relève de notre pôle Risques IT.
Système d'information réparti sur plusieurs entités, chacune avec ses propres réglages et son propre calendrier. Inventaire des vulnérabilités du parc, tri de ce qui compte, suivi des corrections entité par entité sur un tableau de bord unique. Ce prolongement quotidien relève de notre pôle Cyber-opérations.
Avant de nous appeler
Avant de signer
Le bon moment est celui où une décision est encore ouverte. Un projet structurant qui démarre, une échéance de conformité ou un audit qui approche, un périmètre qui change, un plan à présenter à un comité de direction : ce sont des moments où poser une exigence ne coûte presque rien. Nous disons aussi quand cela peut attendre. Une mission déjà engagée sur le même périmètre par une autre équipe, aucune décision à prendre dans l'immédiat, ou des moyens déjà engagés ailleurs : un plan que personne ne pourra suivre n'a pas de valeur, et nous le dirons.
Le coût dépend du périmètre, du nombre d'entités et de la profondeur d'analyse retenue. Il est cadré lors du premier échange, avant tout engagement. Le retour attendu est un ordre de traitement : savoir quoi financer en premier évite d'investir sur des sujets qui ne pèsent pas sur votre activité, et rend l'arbitrage défendable en comité.
C'est la raison pour laquelle l'étape 1 est un temps d'écoute et non un questionnaire. Aucune recommandation avant d'avoir compris comment votre organisation fonctionne réellement, ses activités, ses systèmes et ses risques. Une recommandation est applicable si elle tient compte de vos contraintes d'exploitation, de vos moyens et de vos échéances. Chaque action de la feuille de route est associée à son périmètre, à sa criticité et à l'effort qu'elle représente pour vos équipes. Une recommandation qui ignore vos contraintes ne sera pas appliquée, et une recommandation non appliquée ne réduit rien.
L'audit est l'étape 2 d'une méthode qui en compte six. Les trois dernières se déroulent après la remise des constats, et ce sont elles qui décident si la mission a servi. Nous accompagnons l'exécution de la feuille de route, pas seulement sa rédaction : gouvernance, sécurité technique, conformité, gestion des risques, architecture, continuité. Les points d'avancement suivent le rythme de la feuille de route plutôt qu'un calendrier fixe, et chacun compare la situation à celle du diagnostic initial. Le tableau de bord de pilotage reste alimenté : c'est lui qui sert de support aux arbitrages suivants, y compris à ceux que vous prendrez sans nous.
Nous répondons par des choix de cabinet, vérifiables pendant la mission plutôt qu'annoncés avant. Technique, gouvernance, risques et métier sont tenus par le même cabinet : un choix d'architecture est discuté avec ses conséquences de conformité, et une exigence réglementaire est traduite en configuration vérifiable. Vous n'avez pas à faire vous-même le raccord entre trois interlocuteurs qui ne se lisent pas entre eux. La montée en compétence fait partie de la mission, conduite en parallèle de la mise en œuvre et sur vos sujets réels. Notre positionnement couvre l'Afrique et l'Europe : les référentiels sont internationaux, les contraintes réglementaires et opérationnelles ne le sont pas.
Sur la méthode
En intégrant la sécurité, la gestion des risques et la conformité dès la conception du projet, et non au moment de la recette. Concrètement : les exigences applicables sont posées au cadrage, traduites en critères vérifiables pendant la réalisation, testées avant la mise en production, puis reprises comme référence pour le projet suivant. Le tableau du parcours de projet, plus haut sur cette page, détaille ce qui se décide à chaque moment.
Par la compréhension de votre contexte, puis par un diagnostic de l'existant. Vous n'avez pas besoin de tout sécuriser, tout de suite. Vous avez besoin de savoir quoi sécuriser en priorité et comment le faire efficacement. Si vous n'avez pas encore de vision objective de votre exposition, le point d'entrée est le pôle Risques IT plutôt que celui-ci.
Oui, et c'est le cœur de notre positionnement. L'audit est l'étape 2 d'une méthode qui en compte six. Les étapes 4, 5 et 6 portent sur la feuille de route, la mise en œuvre et le suivi dans la durée. Nous ne nous limitons pas à produire des rapports : nous transformons les analyses en actions concrètes et mesurables.
Souvent en partie, et c'est une bonne chose. Nous apportons trois éléments qu'une équipe interne obtient difficilement seule : un regard indépendant sur son propre système, une méthode de priorisation défendable devant une direction, et l'expérience d'autres contextes. Vos équipes connaissent votre organisation mieux que nous ne la connaîtrons jamais. Le reste leur est transmis pour qu'elles poursuivent sans nous.
Cela ne se décide pas le jour de l'interruption. Les rôles sont nommés, les seuils sont arrêtés à l'avance et l'ordre de redémarrage est validé par les métiers, pas seulement par la direction informatique. C'est ce qui distingue un plan écrit d'un plan tenable.
Oui. Nous accompagnons des entreprises, des institutions publiques, des établissements financiers, des organisations internationales et des acteurs de secteurs critiques ou fortement réglementés. Notre positionnement couvre l'Afrique et l'Europe. Ce qui change d'un contexte à l'autre n'est pas la méthode, ce sont les référentiels applicables et les contraintes d'exploitation, qui sont repris à l'étape 1.
Le premier pas
Trente minutes pour comprendre votre contexte et vous dire par quel bout nous commencerions. Sans engagement, et sans devis à la clé si ce n'est pas le moment.
secfonops