Cybersécurité Offensive & Gouvernance des Risques

Objectif — Évaluer l'étanchéité de vos réseaux et la robustesse de votre infrastructure face à des scénarios d'attaques réalistes (menace externe anonyme, pivotement depuis un poste compromis, élévation de privilèges).

Périmètre — Réseaux externes, routeurs, pare-feux, infrastructures internes, annuaires centralisés (Active Directory, Entra ID), réseaux sans fil (Wi-Fi), et parcs de postes de travail.

Méthodologie — Cartographie active de la surface d'attaque, exploitation non destructive des failles constatées. Fourniture d'un rapport technique exhaustif avec scores de criticité CVSS v3/v4, d'un plan d'action de remédiation priorisé et d'une synthèse managériale pour la direction générale.

Objectif — Valider la sécurité des développements et l'absence de failles logiques au sein de vos applications critiques ou exposées sur Internet.

Périmètre — Applications web (portails clients, applications métiers), API (REST, SOAP, GraphQL), applications mobiles (iOS et Android).

Méthodologie — Tests basés sur le framework OWASP Top 10. Analyse en boîte noire (sans connaissance préalable), boîte grise (avec accès utilisateur) ou boîte blanche (avec accès aux codes sources). Fourniture des preuves de concept (PoC) et de recommandations de code spécifiques pour les équipes de développement.

Objectif — Déceler les dérives de configuration, les erreurs de cloisonnement et les faiblesses d'allocation des droits au sein de vos infrastructures virtualisées.

Périmètre — Environnements Cloud et multi-Cloud (Amazon Web Services, Microsoft Azure, Google Cloud Platform).

Méthodologie — Confrontation de l'architecture aux référentiels de bonnes pratiques (CIS Benchmarks, guides de durcissement de l'ANSSI). Revue fine des politiques d'accès IAM (Identity and Access Management) et des règles de filtrage réseau.

Objectif — Mesurer le niveau de vigilance opérationnelle de vos collaborateurs et tester l'efficacité de vos processus de détection et de remontée d'incidents.

Périmètre — Scénarios personnalisés de spear-phishing (courriels ciblés), vishing (appels téléphoniques frauduleux) ou dépôt de médias amovibles piégés (clés USB).

Méthodologie — Conception de scénarios crédibles basés sur des techniques d'OSINT (veille de sources ouvertes). Fourniture d'un rapport statistique anonymisé (taux d'ouverture, taux de clic, taux de soumission de données) et de préconisations pour le plan de sensibilisation de l'entreprise.

Objectif — Structurer votre organisation pour atteindre les exigences des standards internationaux ou des réglementations contraignantes, afin d'ouvrir de nouveaux marchés ou de répondre aux obligations légales.

Périmètre — Référentiels couverts : ISO/IEC 27001 (Management de la sécurité), Directive NIS 2 (Résilience des entités critiques), RGPD (Protection des données), Règlement DORA (Résilience opérationnelle du secteur financier), HDS (Hébergement de Données de Santé).

Méthodologie — Analyse d'écarts initiale (Gap Analysis), élaboration du plan de traitement, rédaction documentaire (PSSI, procédures, chartes), audits blancs et assistance continue jusqu'au jour de l'audit de certification officiel.

Objectif — Formaliser une vision claire des risques cyber pesant sur vos activités afin d'arbitrer et de rationaliser vos investissements de sécurité.

Périmètre — Méthodologie EBIOS Risk Manager, certifiée par l'ANSSI, appliquée à l'ensemble de votre écosystème numérique.

Méthodologie — Animation d'ateliers avec les directions métiers et techniques. Identification des socles de sécurité, des événements redoutés, des menaces intentionnelles et des scénarios stratégiques/opérationnels. Restitution d'une cartographie des risques, d'un registre des risques et d'un plan de traitement formel.

Objectif — Piloter la sécurité de l'information ou la conformité des données personnelles de votre entreprise de manière continue, sans la contrainte d'un recrutement interne à temps plein.

Périmètre — Missions : alignement de la PSSI sur les objectifs business, tenue des comités de sécurité, gouvernance de la conformité RGPD, gestion des clauses de sécurité dans les contrats d'achat, et réponse aux questionnaires de sécurité de vos clients d'envergure.

Méthodologie — Présence sur site ou à distance selon un calendrier défini (ex : 2 à 4 jours par mois). Fourniture d'un tableau de bord de pilotage SSI, tenue des registres de traitement et animation de la culture sécurité.

Objectif — Garantir la survie de l'organisation et minimiser l'impact financier et opérationnel lors d'une indisponibilité majeure de votre système d'information.

Périmètre — Bilan d'Impact sur l'Activité, procédures de mode dégradé et procédures techniques de bascule pour l'ensemble de vos fonctions critiques.

Méthodologie — Réalisation du Bilan d'Impact sur l'Activité (BIA) pour définir les objectifs de temps de reprise (RTO) et de perte de données maximale admissible (RPO). Rédaction des procédures de gestion du mode dégradé (PCA) et des procédures techniques de reconstruction et de bascule (PRA).

Objectif — Entraîner la cellule de crise de votre organisation (Direction Générale, Communication, Juridique, IT) à prendre des décisions stratégiques sous forte pression.

Périmètre — Scénarios d'attaque sur mesure (ex : rançongiciel avec fuite de données exfiltrées) impliquant l'ensemble des parties prenantes de la cellule de crise.

Méthodologie — Création d'un scénario d'attaque immersif. Animation de la simulation en temps réel (injections de fausses dépêches de presse, appels simulés, sollicitations réglementaires). Restitution finale comprenant un rapport de Retour d'Expérience (RETEX) et un plan de mise à niveau de la gestion de crise.