Le cabinet
Un cabinet de sécurité qui dit où s’arrête l’outil
Reconmind, cabinet de cybersécurité à Paris, conduit des missions offensives et défensives pour des entreprises, des éditeurs de logiciels et des institutions. La particularité est méthodologique : nous développons notre propre plateforme d’automatisation, et nous annonçons ce qu’elle fait et ce qu’elle ne fera jamais.
Le marché du test d’intrusion a un problème de lisibilité : deux prestations qui portent le même nom peuvent différer d’un facteur dix en prix comme en profondeur.
Un acheteur ne peut pas facilement distinguer un rapport issu d’un scan outillé d’un rapport issu d’un travail d’analyse. Les deux sont volumineux, les deux contiennent des scores CVSS, les deux mentionnent l’OWASP. La différence apparaît au moment de corriger, quand les équipes constatent que les constats ne sont pas reproductibles, que l’impact n’est pas contextualisé, et que la cause n’est nulle part.
Notre réponse est double. D’abord, industrialiser ce qui peut l’être : la reconnaissance, l’exécution des scanners, la corrélation. Ensuite, dire explicitement où cette industrialisation s’arrête, et consacrer le temps gagné à ce qu’aucun outil ne trouve : le contrôle d’accès, la logique métier, le chaînage.
C’est aussi pour cette raison que notre site publie des prix plancher, des règles d’engagement et une liste de ce que nous ne promettons pas. Ce sont les trois informations qu’un acheteur cherche et qu’il trouve rarement.
Repères
- Implantation
- Paris, France
- Zone d’intervention
- France · Belgique · Suisse · Luxembourg
- Langues de travail
- Français, anglais
- Disponibilité
- Lundi – vendredi, 9 h – 19 h (heure de Paris)
- Astreinte
- Astreinte incident 24/7 pour les clients sous contrat de supervision
- Délai de réponse
- Réponse à toute demande sous 24 h ouvrées
Sur site en Île-de-France quand la mission l’exige, à distance ailleurs : cybersécurité à Paris, ce qui se fait sur place.
Référentiels appliqués
Appliquer un référentiel n’est pas en être certifié. Nous indiquons les méthodologies suivies pendant les missions, sans les présenter comme des certifications.
Les six règles qui encadrent notre travail
Pas de constat sans preuve
Une vulnérabilité non reproduite ne figure pas dans le rapport : elle passe en observation, avec ce qui a été vu. Le mot « potentiellement » n’apparaît pas dans nos fiches.
Ce que fait l’outil, ce que fait l’analyste
Nous annonçons ce qui est automatisé et ce qui est analysé. Un scan vendu sous le nom de test d’intrusion donne une fausse assurance à celui qui l’achète : nous disons toujours lequel des deux est livré.
Fermé par défaut en cas de doute
Hors du périmètre signé, aucune requête n’est émise. En cas de doute sur l’appartenance d’une cible, la cible est rejetée, pas testée.
Le correctif reste chez vous
Nous travaillons avec vos équipes pour qu’elles tiennent le socle ensuite. Un correctif appliqué par celui qui exploite le système tient plus longtemps.
Nous disons non à une mission mal posée
Red team sur une infrastructure jamais auditée, test d’intrusion sans comptes de test : nous proposons autre chose plutôt que de facturer un rapport décevant.
Un rapport fait pour être corrigé
Un document de travail plutôt que d’archive. Chaque fiche porte la cause, le correctif applicable et la preuve qui permettra de vérifier la correction.
44
prestations au catalogue
12
référentiels appliqués
3 mois
de vérification incluse
24 h
de délai de réponse ouvré
Ce que nous ne promettons pas
Cette page existe parce qu’elle est la plus utile pour nous choisir ou pour nous écarter en connaissance de cause.
Un test d’intrusion ne prouve pas l’absence de vulnérabilité
Il montre ce qui a été trouvé dans un périmètre donné, en un temps donné, avec des compétences données. C’est une mesure et non un certificat d’invulnérabilité, ce qu’aucun prestataire sérieux ne contestera.
L’automatisation couvre la largeur, pas la profondeur
Notre plateforme accélère la reconnaissance et la corrélation. Les vulnérabilités les plus coûteuses (contrôle d’accès, logique métier, chaînage) restent trouvées par un humain. Nous ne vendons pas un scan sous le nom de test d’intrusion.
La conformité n’est pas la sécurité
Une organisation peut être conforme et vulnérable, ou solide et non conforme. Nous traitons les deux, sans faire croire que l’un règle l’autre.
Nous refusons les missions mal posées
Une mission red team sur une infrastructure jamais auditée, ou un test d’intrusion sans comptes de test sur une application complexe, produit un rapport décevant. Nous le disons au cadrage, et proposons autre chose.
Éléments de référencement fournisseur
- Attestation d’assurance responsabilité civile professionnelle
- Accord de confidentialité et charte fournisseur signés
- Politique interne de sécurité et de conservation des données
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début