Cybersécurité & Conformité

La directive distingue entités essentielles et entités importantes, selon le secteur et la taille. Les seuils s’appuient sur la définition européenne des moyennes entreprises : à partir de cinquante salariés ou dix millions d’euros de chiffre d’affaires, dans des secteurs comme l’énergie, la santé, les transports, le numérique ou l’administration. Le périmètre exact dépend de la transposition nationale. Beaucoup d’entreprises sont surtout concernées indirectement, comme fournisseur d’une entité régulée.

L’audit examine votre organisation et vos configurations : droits, exposition, chiffrement, journalisation, chaîne de build. Le test d’intrusion attaque une cible définie et démontre ce qu’un attaquant obtient réellement. L’un donne une couverture large, l’autre une preuve. Commander un pentest sans audit préalable produit souvent un rapport de vulnérabilités déjà connues, coûteux et peu actionnable. Dans l’ordre : audit, corrections, puis test d’intrusion pour vérifier.

C’est le point de départ de notre pratique DevSecOps : les contrôles vivent dans le pipeline, pas dans un audit de fin de projet. Analyse des dépendances, détection de secrets, analyse statique et vérification des images se déclenchent à la pull request, avec un seuil de blocage discuté avec les équipes. Une chaîne qui bloque tout sur des alertes de faible gravité est contournée en trois semaines : nous la calibrons pour éviter ça.

Rarement en premier. Un SOC surveille, encore faut-il avoir de quoi surveiller et de quoi réagir. Avant d’externaliser la détection, il faut des journaux centralisés et exploitables, un inventaire à jour, une gestion des identités saine et des correctifs appliqués. Beaucoup d’organisations achètent une surveillance posée sur un socle qui n’existe pas encore, et paient un abonnement pour des alertes que personne ne traite. Nous regardons ce socle d’abord.

Trois associés-architectes, aucune sous-traitance : les personnes qui accèdent à vos systèmes sont celles que vous avez rencontrées en rendez-vous. Nous demandons les accès strictement nécessaires, et rien au-delà. Chaque décision de sécurité est rendue par écrit et justifiée, pour que vos équipes puissent la défendre en comité sans nous. Nous avons conçu et livré une plateforme de contrôles cyber en environnement bancaire : nos recommandations sont écrites pour être appliquées.