Dirigeants et directions générales
Pour un dirigeant, la cybersécurité est d’abord une responsabilité
En résumé
Pour un dirigeant, l’enjeu d’un audit de sécurité est moins technique que juridique et commercial. La directive NIS 2 place la responsabilité de la gestion du risque cyber au niveau de l’organe de direction, ce qui signifie qu’une absence de diligence devient une faute de gestion. En parallèle, les grands comptes et les assureurs exigent de plus en plus une preuve d’audit indépendant dans leurs appels d’offres. Un test d’intrusion documenté répond aux deux : il réduit un risque réel et il produit une pièce datée, périmétrée et opposable.
Si vous vous reconnaissez dans l’un de ces points
Ce sont les quatre situations dans lesquelles on nous appelle. Si aucune ne correspond, dites-le nous : il est possible que vous n’ayez pas besoin de nous tout de suite.
Vous ne savez pas chiffrer votre exposition, et les devis que vous recevez varient d’un facteur dix pour des prestations qui portent le même nom.
Un appel d’offres ou un client important vous demande une preuve d’audit de sécurité, avec une échéance.
NIS 2 vous concerne, directement ou par ricochet comme fournisseur d’une entité concernée, et vous ne savez pas par où commencer.
Vous n’avez pas de RSSI, ou il est à temps partiel, et personne ne vous dit clairement ce qu’il faut faire en premier.
Exprimé dans vos termes
Une décision en dix minutes de lecture
La synthèse de direction dit ce qui est exposé, ce qu’une exploitation coûterait en arrêt d’activité et en données, et les trois ou quatre décisions à prendre dans l’ordre. Le texte évite le vocabulaire technique et ne contient aucune liste de 200 lignes.
Une pièce utilisable dans un appel d’offres
Un rapport daté, un périmètre explicite, et après correction une attestation. C’est ce que demande un acheteur grand compte, un assureur cyber ou un commissaire aux comptes. Un export de scanner ne passe pas ce filtre, et se repère immédiatement.
Un prix connu avant l’appel
Les prix plancher sont publiés, le barème qui les fait varier aussi. Vous arrivez en discussion avec un ordre de grandeur, ce qui change la nature de la conversation : elle porte sur le périmètre utile plutôt que sur le montant.
Une lecture honnête du risque, y compris quand il est faible
Si votre exposition réelle ne justifie pas la prestation que vous envisagez, nous le disons et nous proposons moins cher. Un prestataire qui vous vend une red team avant d’avoir regardé votre surface externe vous vend du spectacle.
Les questions que vous allez poser, et nos réponses
Elles nous sont posées à presque chaque cadrage. Les écrire ici fait gagner un rendez-vous à tout le monde.
Nous sommes une petite structure. Est-ce que cela nous concerne vraiment ?
La taille protège de moins en moins : la majorité des attaques sont opportunistes et visent ce qui est exposé plutôt que ce qui est gros. En pratique, ce qui compte est moins votre taille que votre exposition : un portail client, une API ouverte, un accès distant, des données personnelles. Notre diagnostic de surface externe existe pour répondre à cela sans engager une mission complète.
Combien cela coûte, vraiment ?
Un diagnostic de surface externe démarre à 490 € HT. Un test d’intrusion sur une application au périmètre délimité démarre à 1 490 € HT, et ce plancher est réel : il correspond à un périmètre que nous réalisons effectivement à ce prix. Ce qui fait monter le devis (nombre de rôles, taille du périmètre, contraintes d’horaires, exigence de preuve) est expliqué sur la page des tarifs.
Le test risque-t-il d’arrêter notre production ?
Rien ne démarre avant une autorisation écrite précisant le périmètre, les horaires et les actions interdites. Les tests destructifs sont exclus par défaut et ne sont menés que sur demande explicite, en environnement dédié. Un canal de contact direct reste ouvert pendant toute la mission, et l’arrêt est immédiat sur simple demande, sans justification à fournir.
Est-ce qu’un audit nous met en conformité ?
Non, et c’est important de le dire. Un test d’intrusion est une pièce d’un dispositif de conformité, pas la conformité elle-même. On peut être conforme et vulnérable, comme on peut être techniquement solide et non conforme. Nous traitons les deux volets, en les distinguant, parce que les confondre coûte cher dans les deux sens.
Les prestations choisies par ce profil
Dans cet ordre, le plus souvent. Le cadrage sert à vérifier que c’est bien la bonne pour vous.
Conformité NIS 2
Faire d’une obligation réglementaire une sécurité que vous pouvez démontrer.
3 à 9 mois selon le périmètre et le niveau de départdès 1 900 €
Pentest web
Savoir ce qu’un attaquant obtiendrait sur votre application.
2 à 15 jours selon le périmètredès 1 490 €
Pentest interne
Simuler ce qui se passe après l’ouverture de la première pièce jointe.
3 à 12 joursdès 2 400 €
Sensibilisation
Des équipes qui savent quoi faire devant un message douteux.
sessions de 1 à 3 h ; campagnes sur 3 à 12 moisdès 490 €
Réponse à incident
Comprendre, contenir, puis remettre en service, dans cet ordre.
intervention sous 24 h ouvrées ; sous 4 h pour les clients sous contratdès 1 190 €
Par ordre d’engagement croissant
Les deux premières ne demandent ni coordonnées ni rendez-vous.
- Étape 1Évaluer votre exposition NIS 2Douze questions, un résultat immédiat, aucune donnée transmise.
- Étape 2Comprendre les prix du marchéPourquoi deux devis varient d’un facteur dix, et comment les comparer.
- Étape 3Demander un diagnostic de surfaceCe qui est visible de votre entreprise depuis Internet, sans engagement.
Les autres lectures
- ParcoursPour un RSSIRSSI et responsables sécurité
- ParcoursPour une équipe techniqueÉquipes techniques, CTO et responsables de production
- ParcoursPour une PMETPE et PME, souvent sans équipe sécurité
- ParcoursPour une ETIETI et groupes dotés d’une équipe informatique
- ParcoursPour un éditeur SaaSStartups et éditeurs SaaS en croissance
- ParcoursTous les parcours côte à côteCe que chaque rôle cherche dans la même mission.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début