Le compte partagé
Un compte administrateur utilisé par cinq personnes : personne ne peut dire qui a fait quoi, et le départ d'un salarié ne change rien.
Accueil / Expertises / Sécurité informatique et conformité
Sécurité informatique et conformité
Auditer, durcir, documenter. Réduire la surface d'attaque, puis pouvoir prouver ce qui a été corrigé — sans catalogue de produits ni jargon.
Ce que ça règle
Quatre situations qui amènent ici
L'accès oublié
Un prestataire, une mise en service, un accès ouvert « le temps de » — et deux ans plus tard il est toujours là.
Le courriel qui inquiète
La comptabilité reçoit un message suspect, le transfère à trois personnes, et personne ne sait s'il faut cliquer, répondre ou éteindre la machine.
La conformité réclamée
Un client, un appel d'offres ou un assureur demande des preuves : registre, procédure, sauvegardes testées.
L'approche
Sécurité informatique et conformité, concrètement
La sécurité utile ne commence pas par un produit. Elle commence par une question simple : qu'est-ce qui, aujourd'hui, est exposé et que personne ne surveille ? Un compte administrateur partagé, une messagerie sans authentification à deux facteurs, un accès prestataire laissé ouvert après la mise en service, une sauvegarde montée en écriture sur le serveur qu'elle est censée protéger.
Je constate l'état réel, je classe les constats par criticité — ce qui est exploitable depuis Internet d'abord, ce qui met les données en jeu ensuite, l'hygiène enfin — puis je corrige par vagues. Chaque vague laisse un document : c'est ce qui distingue un audit d'une simple visite.
Prestation 01
Audit & durcissement
Un audit commence par la réalité du terrain : annuaire, messagerie, pare-feu, postes, sauvegardes. J'en tire une liste de constats classés par criticité, avec pour chacun le risque concret et le correctif. Les actions se déploient ensuite par vagues, en commençant par ce qui se voit de l'extérieur : comptes exposés, services ouverts, authentification absente.
- Audit de configuration et de vulnérabilités
- MFA, SSO, hygiène des comptes à privilèges
- Analyse de courriels suspects et de compromissions
- Durcissement postes et serveurs, EDR
Ce que vous recevez
- Rapport d'audit avec criticité et plan d'action priorisé
- Configuration des accès : MFA, rôles, comptes à privilèges
- Procédure de réponse à incident (qui fait quoi, dans quel ordre)
Prestation 02
Sécurité applicative
Une application métier grandit plus vite que sa sécurité : compte de test oublié, requête construite par concaténation, jeton laissé dans un dépôt. Je relis le code et je l'attaque avec la même grille, puis je fournis des correctifs utilisables par l'équipe qui maintient — pas un rapport de quatre-vingts pages. Le re-test après correction fait partie du travail, sinon personne ne sait si le correctif tient.
- Revue de code ciblée : authentification, droits, injections, secrets
- Test d'intrusion sur application web et API (référentiel OWASP)
- Audit des dépendances et de la chaîne de publication
- Rapport priorisé, correctifs proposés, re-test des points corrigés
Ce que vous recevez
- Rapport de revue et d'intrusion : criticité, scénarios reproductibles
- Correctifs sous forme de patchs ou de tickets prêts à traiter
- Re-test des points corrigés, avec résultat daté
Prestation 03
Conformité & RGPD
La conformité utile n'est pas un classeur : c'est la preuve datée que les mesures décidées sont appliquées. Je pars de l'existant — contrats, sous-traitants, outils, accès — puis je comble les écarts qui ont un sens : un registre à jour, une procédure d'incident que l'on sait dérouler, des durées de conservation tenues. Le reste attend l'année suivante, et c'est écrit dans le plan plutôt que laissé au hasard.
- Registre des traitements et durées de conservation
- Analyse d'impact (AIPD) quand elle est requise
- Politique de sécurité et procédures : incidents, accès, départs
- Préparation NIS2 et ISO 27001 : écarts et feuille de route
Ce que vous recevez
- Registre des traitements et durées de conservation
- Politique de sécurité courte (10 à 15 pages) et procédures associées
- Feuille de route des écarts, classée par risque
Prestation 04
Formation & sensibilisation
La technique ne protège pas d'un clic. Une sensibilisation utile tient en une heure, avec des exemples pris dans vos propres courriels — jamais des captures génériques. On mesure ensuite : qui a cliqué, qui a signalé, ce qu'il faut refaire. C'est aussi le meilleur moyen de faire remonter les incidents que personne n'osait déclarer.
- Atelier phishing d'une heure, sur site ou en visioconférence
- Campagne de faux courriels et débriefing des clics
- Bonnes pratiques : mots de passe, MFA, partages, départ d'un salarié
- Mémo d'une page remis aux participants
Ce que vous recevez
- Support de session adapté à vos outils et à vos métiers
- Résultats de la campagne : taux de clic, taux de signalement
- Mémo d'une page à afficher ou à diffuser
Questions fréquentes
Ce qu'on me demande le plus souvent
Faut-il tout refaire pour être conforme au RGPD ?
Non. On part de l'existant : ce qui est déjà collecté, où, pendant combien de temps, et qui y accède. Le travail consiste le plus souvent à réduire, documenter et corriger des écarts précis, pas à repartir de zéro.
Un audit de sécurité, c'est long ?
Le périmètre décide. Vérifier un annuaire, une messagerie et un pare-feu n'a rien à voir avec l'analyse d'un parc complet et d'applications métier. Le périmètre et les livrables sont écrits avant de commencer.
La sensibilisation sert vraiment à quelque chose ?
Elle sert si elle est concrète : un exercice de courriel piégé encadré, une procédure de signalement en trois clics, et un débrief avec l'équipe. Une présentation annuelle de bonnes pratiques ne change aucun comportement.
Les autres pôles
Vous cherchez autre chose ?
Un sujet qui ne rentre pas exactement dans cette case ?
Décrivez-le en quelques lignes : la plupart des demandes touchent deux domaines à la fois, et je vous dis franchement si ce n'est pas mon métier.