ENEspace client
AccueilCybersécurité

Piloter le risque cyber

Analyse de risques, conformité, tests d'intrusion et gouvernance — outillés par Elyys360, la plateforme GRC que nous éditons.

L'ÉTAT DU RISQUE

La conformité s'est imposée à tout le monde.
La capacité à en faire la preuve, non.

Ce qui a changé n'est pas le niveau d'exigence des textes. C'est que la preuve est devenue continue, alors que la plupart des dispositifs sont restés annuels. Ce qui suit décrit ce que nous constatons en mission.

Trois défaillances

Le risque que l'on ne voit pas

Le périmètre a grandi plus vite que la cartographie : prestataires, SaaS souscrits hors DSI, API ouvertes, environnements de test oubliés. On protège ce que l'on a inventorié, et l'inventaire date.

La conformité qui coûte plus qu'elle ne protège

Des heures passées à remplir des questionnaires qui ne changent aucune décision, pendant que les correctifs attendent. Le budget part dans la démonstration, pas dans la réduction du risque.

La preuve que l'on ne sait pas produire

L'organisation fait correctement les choses et ne peut pas le montrer. Au moment du contrôle, de l'appel d'offres ou de l'incident, une preuve absente vaut un contrôle absent.

Des maturités différentes, des secteurs différents, les trois mêmes défaillances.

Comment on s'en est arrangé

Quatre échappatoires, qui reviennent partout. Aucune ne réduit le risque : elles en documentent l'existence.

Le tableur de risques

À jour le mois de l'audit, figé les onze suivants.

Le questionnaire fournisseur

Déclaratif, annuel, jamais recoupé. On mesure la qualité des réponses, pas celle du fournisseur.

L'audit que l'on range

Deux cents pages, aucune action datée, aucun responsable nommé. Le rapport existe, le risque aussi.

Attendre le contrôle

Le sujet devient prioritaire le jour où il devient public.

Pourquoi la voie classique restait hors de portée

Le coût

Un dispositif complet se chiffre comme un programme, alors que le risque, lui, ne s'arrête pas pendant l'arbitrage budgétaire.

Le délai

Entre la décision et la première preuve exploitable, il s'écoule souvent plus d'un an. L'exposition court sur toute la durée.

L'arbitrage

Personne n'est en position de dire quel constat traiter d'abord, faute d'une cotation que la technique et la direction lisent de la même façon.

Le choix se résumait à financer un programme ou à espérer. Pendant des années, espérer l'a emporté.

CE QUI A CHANGÉ

On ne produit plus un rapport. On pilote un plan.

Un constat n'a de valeur que daté, affecté et suivi. La plus petite unité utile n'est pas l'audit : c'est l'action corrective, avec un responsable, une échéance et une contre-vérification. Tout ce qui n'atteint pas ce niveau de granularité finit archivé.

Côté exposition

Chemins d'attaque réellement exploitables, défauts de configuration, exposition externe, tiers critiques. Ce par quoi une attaque passe.

Côté gouvernance

Cotation du risque, décision d'acceptation, preuve d'exécution. Ce qu'un contrôleur, un assureur ou un client vous demandera de montrer.

LA PREUVE

Ce qui distingue un dispositif piloté d'un rapport archivé

Une vulnérabilité critique se signale le jour où on la trouve, pas le jour où le rapport est prêt.

  1. Chaque constat est reproductible

    Une preuve technique que vos équipes peuvent rejouer. Un constat que l'on ne sait pas reproduire ne se corrige pas : il se discute.

  2. Chaque constat porte un nom et une date

    Un responsable, une échéance, une estimation d'effort. Sans cela, la priorisation retombe sur celui qui a lu le rapport en dernier.

  3. La cotation se lit à deux niveaux

    La même matrice sert à la session technique et à la synthèse pour la direction. Deux lectures, une seule cotation, le même jour.

  4. Les corrections sont contre-vérifiées

    À l'issue du plan, les tests sont rejoués. Une remédiation déclarée n'est pas une remédiation constatée.

Ce que cela débloque

Le gain ne prend pas toujours la forme d'un risque fermé. Il se présente sous quatre formes, et elles ne se valent pas.

Une exposition rendue visible

Le périmètre réel remplace le périmètre supposé, y compris les actifs que plus personne ne revendiquait.

Un questionnaire que l'on cesse de subir

La preuve est produite une fois et resservie, au lieu d'être réécrite pour chaque demandeur.

Un arbitrage qui redevient possible

Une cotation partagée permet enfin de dire ce que l'on traite, ce que l'on accepte, et pourquoi.

Une dépendance qui tombe

Le plan se pilote dans vos outils. Rien n'oblige à repasser par nous pour savoir où vous en êtes.

AUDIT & PENTEST

Audit et tests d'intrusion

Identifier les chemins d'attaque réellement exploitables et produire des recommandations actionnables.

  • Pentest applicatif
  • Pentest infrastructure
  • Red team
  • Audit de configuration
CONFORMITÉ & GRC

Conformité et GRC

Transformer les textes et référentiels en une feuille de route qui sert les métiers.

  • EBIOS RM
  • ISO 27001
  • NIS2
  • DORA
  • TPRM
SOC & RÉPONSE À INCIDENT

SOC et réponse à incident

Préparer, détecter et contenir les incidents en coordination avec vos équipes.

  • SOC managé
  • CSIRT
  • Threat intelligence

Comment se déroule une mission

  1. Cadrage

    1 semaine

    Périmètre, objectifs, contraintes d'exploitation et interlocuteurs. Rien ne démarre avant qu'une note de cadrage soit validée par vos équipes.

  2. Exécution

    2 à 6 semaines

    Audit, tests d'intrusion ou entretiens de conformité selon la mission. Toute vulnérabilité critique vous est signalée immédiatement, sans attendre le rapport.

  3. Restitution

    1 séance

    Deux niveaux de lecture : une session technique avec vos équipes, une synthèse pour la direction. Les deux le même jour.

  4. Plan d'action

    inclus

    Chaque constat devient une action datée, avec un responsable et une estimation d'effort. Un rapport sans plan d'action ne se met jamais en œuvre.

Ce que vous recevez

  • Rapport détaillé, avec des preuves techniques reproductibles
  • Matrice de risques cotée en impact et vraisemblance, méthode EBIOS RM
  • Plan de remédiation priorisé par risque et par effort
  • Synthèse de deux pages destinée au comité de direction
  • Restitution orale et séance de questions avec vos équipes
  • Contre-vérification des corrections, à l'issue du plan

Questions fréquentes

Combien de temps dure une mission ?

Cela dépend du périmètre : deux à trois semaines pour une application, plusieurs mois pour un système d'information complet. Le cadrage tranche cette question avant que vous ne vous engagiez, pas après.

Faut-il interrompre la production ?

Non pour un audit de conformité ou une analyse de risques. Pour un test d'intrusion, nous convenons ensemble d'une fenêtre et de règles d'engagement écrites, qui précisent ce qui est autorisé et ce qui ne l'est pas.

Qui intervient réellement ?

Des consultants expérimentés, nommés au devis. Nous ne plaçons pas un profil junior seul sur une mission, et l'interlocuteur qui vous a répondu est celui qui intervient.

Que se passe-t-il après la restitution ?

Le plan d'action se pilote. Vous pouvez le faire dans vos propres outils, ou dans Elyys360, la plateforme que nous éditons, où chaque constat devient une action suivie.

Faut-il souscrire à Elyys360 ?

Non. Nos missions de conseil sont indépendantes de la plateforme et se déroulent à l'identique sans elle. Elyys360 sert à piloter ce qui suit, pas à réaliser l'audit.

CYBERSÉCURITÉ · NOTRE PLATEFORME

Elyys360, l'ERP de la cybersécurité

Nous ne revendons pas la plateforme d'un autre : nous l'écrivons. Voici ce qu'elle fait, écran par écran.

Cartographie des risques

Cotez l'impact et la vraisemblance, ajoutez les mesures de réduction, et le risque résiduel se recalcule à mesure que les actions avancent. La bascule Actuel / Initial montre le chemin parcouru.

  • EBIOS RM et scénarios
  • Matrice impact / vraisemblance
  • Risque résiduel recalculé
Demander une démoelyys360.com

Un risque à cartographier
ou des opérations à moderniser ?

Un échange de 30 minutes suffit pour savoir si nous sommes le bon interlocuteur.

Réserver un créneauEspace client