Méthode
Une mission en quatre temps
Chaque mission suit le même déroulé, quelle que soit l’offre. Il commence par un périmètre écrit et se termine par des corrections vérifiées.
Vue d’ensemble
Le déroulé d’une mission
Les étapes se suivent. La dernière revient vers l’examen : une correction n’est close qu’une fois vérifiée.
01Cadrage
Fixer le périmètre par écrit
Avant toute intervention, nous fixons par écrit ce qui est examiné, comment, et avec qui.
- Périmètre écrit
- Les applications, dépôts, environnements et équipes concernés. Ce qui est exclu est écrit aussi.
- Autorisations
- Ce que je suis autorisé à faire, validé par une personne habilitée chez vous avant de commencer.
- Accès
- Les accès strictement nécessaires, nominatifs, en lecture seule par défaut.
- Interlocuteurs
- Un référent côté direction, un contact technique, et la façon de les joindre.
À la fin de cette étapeUn document de cadrage validé des deux côtés.
02Examen
Lire ce qui est réellement en place
Je lis le code, la configuration et les procédures compris dans le périmètre. Quand un point n’est pas clair, je pose la question plutôt que de supposer.
- Lecture directe
- Le code, la configuration et la documentation sont lus, pas seulement passés dans un outil.
- Outils vérifiés à la main
- Les outils d’analyse servent à orienter. Chaque résultat est vérifié avant de devenir un constat.
- Référentiels publics
- Je m’appuie sur des référentiels publics, comme ceux de l’OWASP ou les guides de l’ANSSI, adaptés à votre contexte.
- Alerte immédiate
- Un constat critique vous est signalé dès qu’il est confirmé, sans attendre la restitution.
À la fin de cette étapeDes constats vérifiés et documentés.
03Restitution
Des constats que vous pouvez corriger
Des constats priorisés, expliqués, chacun avec un correctif proposé. Un document court, pas un rapport de 80 pages.
- Priorisés
- Classés selon ce qu’ils permettent réellement sur votre activité, pas selon un score générique.
- Expliqués
- Lisibles par la direction, précis pour les développeurs : où, comment, avec quelle conséquence.
- Corrigeables
- Un correctif proposé pour chaque constat, adapté à votre code et à vos outils.
- Limites dites
- Ce qui n’a pas été examiné, et pourquoi.
À la fin de cette étapeUn document de restitution et une séance d’échange avec vos équipes.
04Correction et suivi
Corriger, puis vérifier
Vos équipes corrigent, avec un appui si elles le souhaitent. Je vérifie ensuite que les corrections tiennent.
- Appui aux équipes
- Réponses aux questions, relecture des correctifs avant leur mise en production.
- Vérification des corrections
- Chaque correctif livré est revu pour confirmer que le constat est clos.
- Plan d’action à jour
- Ce qui est corrigé, ce qui reste, ce qui est planifié.
- Fin de mission
- Retrait des accès, et suppression des données conservées pour la mission si vous le demandez.
À la fin de cette étapeUn état final : ce qui est corrigé, ce qui reste à planifier.
Principes
Principes de travail
Ils s’appliquent à toutes les missions, sans exception.
- Confidentialité
- Un accord de confidentialité peut être signé avant tout échange technique. Vos données restent sur vos systèmes autant que possible.
- Périmètre et autorisations écrits
- Aucune intervention sans périmètre écrit et autorisation validée. Ce qui n’y figure pas n’est pas touché.
- Accès minimaux
- Lecture seule par défaut, comptes nominatifs, accès retirés à la fin. Aucune modification de votre production sans votre accord explicite.
- Priorisation par risque réel
- Un accès ouvert à vos données clients passe avant une faiblesse théorique sur un outil interne. L’ordre des corrections suit cette logique.
- Transparence sur ce qui n’est pas couvert
- La restitution dit ce qui a été examiné et ce qui ne l’a pas été. Un audit réduit le risque, il ne prouve pas l’absence de faille.
- Une seule personne
- Je suis indépendant. La personne avec qui vous échangez est celle qui fait le travail.
Questions
Questions fréquentes
Faites-vous des tests d’intrusion ?
Non. Mon positionnement est défensif : je lis votre code, votre configuration et vos procédures pour corriger ce qui doit l’être.
Si un client ou un contrat exige un test d’intrusion, je peux vous aider à en préparer le périmètre et à traiter ses résultats.
Intervenez-vous en urgence pendant un incident ?
Non, je n’assure pas d’astreinte. Mon offre est la préparation : faire en sorte que, le jour venu, vous sachiez qui décide, qui appeler et quoi faire.
Si vous êtes en cours d’incident, le dispositif public Cybermalveillance.gouv.fr oriente vers des prestataires spécialisés.
Avez-vous besoin d’accéder à notre production ?
Rarement. L’essentiel du travail se fait sur le code, la configuration et les consoles, en lecture seule. Si un accès plus large est nécessaire, il est demandé, justifié et écrit dans le cadrage.
Pouvez-vous signer un accord de confidentialité ?
Oui, avant tout échange technique si vous le souhaitez.
Que se passe-t-il si tout le périmètre n’a pas pu être examiné ?
La restitution le dit, avec la raison : accès manquant, temps, choix de priorité. Vous savez exactement ce qui est couvert et ce qui ne l’est pas.
Parlons de votre situation
Décrivez votre contexte en quelques lignes. Je reviens vers vous pour convenir d’un premier échange.