Un client, un assureur ou un donneur d’ordre demande des preuves que vous n’avez pas.
Expertise 03 · Traiter la sécurité là où elle se joue : l’exploitation.
Cybersécurité opérationnelle
Les compromissions que je rencontre ne viennent presque jamais d’un défaut d’outillage. Elles viennent d’un service exposé que plus personne ne suivait, d’un compte d’administration partagé, d’une sauvegarde accessible depuis l’annuaire qu’elle était censée protéger. Je travaille ces trois sujets avant tout le reste.
Vous reconnaissez la situation ?
Les signaux qui amènent à m’appeler.
Aucun de ces signaux n’est technique. Tous finissent pourtant en blocage technique quelques mois plus tard.
NIS2 s’applique, ou pourrait s’appliquer, et le périmètre n’a jamais été qualifié par écrit.
Les sauvegardes tournent tous les jours et aucune restauration complète n’a été exécutée.
Les comptes d’administration sont partagés, ou accessibles depuis Internet.
Ce que je fais
Le déroulé de l’intervention.
L’ordre compte autant que le contenu. Chaque étape conditionne la validité de la suivante, et sauter la première fait perdre le bénéfice des trois autres.
01
Établir l’exposition observable
Noms de domaine et sous-domaines actifs, services publiés, hygiène TLS, authentification de messagerie, journaux publics de transparence des certificats. Je commence par ce qu’un tiers voit sans effort, parce que c’est aussi par là que commence un attaquant opportuniste.
02
Reprendre les chemins d’administration
Comptes à privilèges, séparation des rôles, authentification renforcée, cloisonnement des postes d’administration. C’est le chemin emprunté par la quasi-totalité des attaques par rançongiciel documentées ces dernières années.
03
Vérifier la capacité de reprise
Sauvegardes immuables, copies sorties du domaine d’administration, restauration complète d’un applicatif métier exécutée chronomètre en main. Un délai de reprise déclaré et un délai constaté diffèrent souvent d’un facteur trois.
04
Traduire la conformité en plan tenable
NIS2, ISO 27001, DORA, questionnaire d’un donneur d’ordre : je ramène ces exigences à une séquence d’actions ordonnée par risque et par effort, compatible avec la charge d’exploitation que votre équipe porte déjà.
Livrables
- État de l’exposition externe et des écarts d’hygiène observables
- Analyse des chemins d’administration et des comptes à privilèges
- Revue de la capacité de reprise, avec résultats de test chronométrés
- Plan de remédiation ordonné par risque, coût et effort
- Trajectoire de conformité : NIS2, ISO 27001, exigences client
Ce que vous en gardez
- Une priorisation qui repose sur l’exposition constatée
- Une capacité de reprise mesurée au lieu d’être supposée
- Des réponses documentées à réutiliser en avant-vente et devant un assureur
Questions fréquentes
Ce qu’on me demande avant de démarrer.
Réalisez-vous des tests d’intrusion ?
Non. Mon analyse s’arrête à ce qui est publiquement observable, sans authentification et sans tentative de contournement. Quand un test d’intrusion se justifie, il vient après la remise à niveau : le payer pour redécouvrir des écarts déjà connus est un mauvais usage du budget.
Sommes-nous concernés par NIS2 ?
Cela dépend du secteur, de la taille et parfois du rôle tenu dans la chaîne d’approvisionnement d’un client assujetti. La première étape est de qualifier ce périmètre par écrit, en s’appuyant sur le texte de transposition et les publications de l’ANSSI. Beaucoup d’organisations engagent des dépenses avant d’avoir tranché cette question.
Faut-il un SOC ?
Pas avant d’avoir traité l’exposition, l’administration et la sauvegarde. Un SOC branché sur un socle non maîtrisé produit des alertes que l’équipe n’a ni le temps ni les moyens de traiter, et son coût récurrent occupe la ligne budgétaire qui manquera ailleurs.
Pour aller plus loin
Situations et analyses liées.
Situation
Réduire une surface d’exposition qui allongeait le cycle de vente
Un éditeur voit ses cycles de vente s’allonger sur les questionnaires sécurité de ses clients grands comptes, sans dossier de preuve constitué et sans inventaire de ce qu’il expose.
Situation
Passer d’une sauvegarde déclarée à une capacité de reprise vérifiée
L’établissement dispose d’une sauvegarde quotidienne et d’un plan de reprise documenté. Aucune restauration complète n’a jamais été exécutée de bout en bout.
Publication · 6 minCe que votre surface externe dit déjà de votre organisation
Certificats, en-têtes, authentification de messagerie, sous-domaines oubliés. Ces signaux sont publics, se corrigent en quelques jours, et sont les premiers que regardent un attaquant opportuniste comme un client qui vous évalue.
Publication · 8 minNIS2 : qualifier son périmètre avant d’engager la moindre dépense
Beaucoup d’organisations lancent des chantiers de mise en conformité avant d’avoir établi si elles sont concernées, à quel titre et sur quel périmètre. C’est l’erreur la plus coûteuse de la démarche.
Publication · 6 minLe plan de reprise que personne n’a jamais exécuté
Les rapports de sauvegarde sont verts, le plan existe, et la reprise échoue le jour où elle est nécessaire. Les causes sont presque toujours les mêmes cinq.
Cybersécurité
Décrivez votre situation en quelques lignes.
Trente minutes pour établir ce qui doit être décidé, l’échéance réelle et le niveau d’intervention utile. Cet appel n’engage à rien.