Services

Cinq offres de sécurité défensive

Du code à l’infrastructure, des attaques assistées par IA à la préparation à l’incident. Chaque offre se termine par des correctifs que vos équipes peuvent appliquer.

Sommaire

Code et architecture

Audit de sécurité applicative

Une revue de votre code et de votre architecture par quelqu’un qui écrit du code depuis plus de 20 ans. Chaque constat arrive avec un correctif que votre équipe peut appliquer.

Dans quelle situation

Vous allez exposer une application ou une API à des clients, des partenaires ou à Internet.
Un client ou un investisseur vous pose des questions de sécurité et vous voulez y répondre avec des faits.
Votre code a grandi vite et personne n’a eu le temps de le relire sous l’angle de la sécurité.

Ce que j’examine

Authentification et sessions: Stockage des mots de passe, double authentification, réinitialisation, durée et révocation des sessions, jetons (JWT, OAuth, OpenID Connect).
Contrôle d’accès: Vérification des droits côté serveur, accès d’un client aux données d’un autre, routes et fonctions d’administration.
Entrées et injections: Requêtes SQL et NoSQL, rendu HTML (XSS), téléversement de fichiers, requêtes sortantes déclenchées par l’utilisateur (SSRF).
Gestion des secrets: Clés et mots de passe dans le code, l’historique Git, les variables d’environnement et les journaux. Rotation après fuite.
Dépendances et chaîne d’approvisionnement: Vulnérabilités connues, paquets abandonnés, verrouillage des versions, origine des images de conteneur.
Pipeline CI/CD: Droits des jetons, protection des branches, secrets exposés aux builds, contrôle de ce qui part en production.
Journalisation: Ce qui est tracé, ce qui ne devrait pas l’être (données personnelles, secrets), capacité à reconstituer un incident.

Ce que vous recevez

Des constats priorisés selon le risque réel pour votre activité.
Pour chaque constat : où il se trouve, ce qu’il permet, le correctif proposé.
Un plan d’action ordonné : ce qui se corrige d’abord, ce qui se planifie.
Une restitution orale avec l’équipe technique.

Forme de l’intervention

Accès en lecture seule à vos dépôts, sur un périmètre écrit : une application, une API, un service.

Je travaille à partir du code et de la documentation existante, avec des échanges courts avec vos développeurs.

Infrastructure et cloud

Durcissement infrastructure et cloud

Réduire ce qui est exposé, ce qui est trop ouvert et ce qui ne se restaure pas. Sur vos serveurs, votre cloud et vos outils d’administration.

Dans quelle situation

Votre infrastructure s’est construite au fil des besoins et personne n’en a une vue complète.
Vous migrez vers le cloud, ou d’un fournisseur à un autre, et voulez partir sur une base saine.
Vous n’avez jamais vérifié qu’une restauration complète fonctionne.

Ce que j’examine

Identités et accès: Comptes à privilèges, double authentification, comptes partagés ou orphelins, rôles IAM trop larges, clés d’accès de longue durée.
Exposition réseau: Services accessibles depuis Internet, interfaces d’administration, règles de pare-feu et groupes de sécurité, accès distants.
Configuration: Mises à jour, paramètres par défaut, stockage objet public, chiffrement des données au repos et en transit.
Sauvegardes et restauration: Couverture réelle, copies isolées hors de portée d’un rançongiciel, procédure de restauration testée.
Journalisation et alertes: Journaux d’authentification et d’administration, durée de conservation, alertes sur les événements qui comptent.
Messagerie et domaine: SPF, DKIM et DMARC, comptes d’administration de la messagerie, gestion du nom de domaine.

Ce que vous recevez

Une vue de ce qui est exposé et de qui a accès à quoi.
Des constats priorisés, avec la configuration corrigée : commandes, extraits d’infrastructure as code, réglages de console.
Une liste de vérification des sauvegardes et de la restauration.
Un plan de durcissement ordonné.

Forme de l’intervention

Accès en lecture seule à vos consoles et à votre infrastructure as code, sur un périmètre écrit.

Aucune modification sans votre accord explicite : les correctifs sont proposés, puis appliqués par vos équipes ou avec elles.

Attaques assistées par IA

Défense face aux attaques assistées par IA

L’IA rend l’hameçonnage plus crédible et l’usurpation de voix plus accessible. Elle crée aussi des risques dans vos propres usages. Les deux se traitent par des procédures et des contrôles concrets.

Dans quelle situation

Vos équipes finance, RH ou direction reçoivent des demandes de plus en plus crédibles.
Vos collaborateurs utilisent des assistants IA sans règle claire sur les données qu’ils y collent.
Votre produit intègre un LLM : assistant, agent, résumé de documents, recherche.

Ce que j’examine

Hameçonnage ciblé généré par IA: Messages personnalisés à partir d’informations publiques, sans fautes. Filtrage de la messagerie, signalement, réflexes des équipes les plus exposées.
Usurpation de voix et de vidéo: Faux appel du dirigeant, fausse visioconférence. Procédures de vérification des demandes sensibles : virements, changements de RIB, envoi de données, accès en urgence.
Fuites de données via les assistants IA: Ce qui est collé dans les outils grand public, réglages de conservation et d’entraînement, outils autorisés, règles d’usage écrites.
Injection de prompt dans vos applications: Instructions cachées dans un document, un email ou une page traités par votre LLM. Données accessibles au modèle, droits des outils qu’un agent peut appeler, contrôle des sorties.

Ce que vous recevez

Des procédures de vérification écrites pour les demandes sensibles, adaptées à votre organisation : contre-appel sur un numéro connu, double validation.
Une politique d’usage de l’IA courte et applicable.
Pour les applications qui intègrent un LLM : constats et correctifs, comme pour un audit applicatif.
Un échange avec les équipes les plus exposées : finance, RH, direction, support.

Forme de l’intervention

Entretiens avec les personnes concernées, revue des procédures existantes et, pour les applications, revue du code et de la configuration.

Le travail porte sur les procédures et les outils. Aucun piège n’est tendu à vos collaborateurs.

Préparation

Préparation à l’incident

Le jour d’un incident, on applique ce qui a été préparé. Cette offre prépare ce jour-là : qui décide, qui fait quoi, comment repartir.

Dans quelle situation

Vous n’avez pas de plan de réponse écrit, ou il n’a jamais servi.
Votre infrastructure est gérée par un prestataire et vous ne savez pas ce qu’il ferait en cas d’attaque.
Un client, un assureur ou une obligation réglementaire vous demande de démontrer votre préparation.

Ce que je prépare avec vous

Plan de réponse: Critères de déclenchement, puis détection, confinement, éradication et reprise, adaptés à vos systèmes.
Rôles et décisions: Qui décide d’isoler un système ou de couper un accès, les suppléants, les contacts externes : prestataires, assureur, conseil juridique.
Communication de crise: Annuaire hors ligne, canal de secours si la messagerie est compromise, obligations de notification, dont la CNIL en cas de violation de données personnelles.
Tests de restauration: Restauration réelle d’un système critique, temps effectivement nécessaire, écarts avec ce qui était prévu.
Exercice sur table: Un scénario réaliste joué avec les décideurs : rançongiciel, compte d’administration compromis, fraude au virement.

Ce que vous recevez

Un plan de réponse court, utilisable sous pression, avec une fiche réflexe par scénario.
Un annuaire de crise et la répartition des rôles.
Le compte rendu du test de restauration et de l’exercice, avec les écarts à corriger.

Forme de l’intervention

Ateliers avec la direction et les équipes techniques, puis un test de restauration et un exercice.

C’est de la préparation : je n’assure pas d’astreinte et n’interviens pas pendant un incident en cours. Le plan indique à qui faire appel ce jour-là.

Dans la durée

Accompagnement continu

Un référent sécurité à temps partagé, pour les entreprises qui n’ont pas de RSSI ou dont l’équipe n’a pas le temps.

Dans quelle situation

Un audit a produit un plan d’action et il faut le mener à terme.
Votre équipe livre souvent et veut un avis sécurité sur les changements sensibles.
Vos clients vous envoient des questionnaires de sécurité et personne n’a le temps d’y répondre sérieusement.

Ce que je fais

Suivi du plan d’action: Priorités, avancement, vérification des corrections une fois livrées.
Revue des changements sensibles: Authentification, droits, nouvelle exposition à Internet, nouveau fournisseur, intégration d’un LLM.
Appui aux développeurs: Revue de code ciblée, analyse des menaces sur les nouvelles fonctionnalités, réponses aux questions de l’équipe.
Veille utile: Les vulnérabilités qui touchent vos dépendances et vos outils, avec ce qu’il faut faire.
Questionnaires de sécurité: Réponses factuelles aux questionnaires de vos clients et partenaires, sans promettre plus que ce qui est en place.

Ce que vous recevez

Un point régulier avec l’état du plan d’action.
Des avis écrits sur les changements revus.
Un interlocuteur qui connaît votre contexte.

Forme de l’intervention

Quelques jours par mois, à un rythme convenu ensemble, à distance et avec des échanges réguliers.

Le volume s’ajuste à vos besoins.

Tarifs

Tarifs sur devis après un premier échange

Le coût dépend du périmètre : la taille du code, le nombre de systèmes, les équipes concernées. Un premier échange sert à comprendre votre situation et à vous proposer un format adapté. Il ne vous engage à rien.

Vous ne savez pas quelle offre correspond à votre cas ? Décrivez votre situation : je vous dirai laquelle convient, ou si aucune ne convient.

Lire le déroulé d’une mission

Parlons de votre situation

Décrivez votre contexte en quelques lignes. Je reviens vers vous pour convenir d’un premier échange.

Prendre contact