Durcissement et architecture de sécurité
Après le constat vient le chantier, mené avec vos équipes plutôt qu’à leur place.
Réponse courte
Durcissement : de quoi s’agit-il, pour qui, à quel prix ?
Accompagnement de correction et de durcissement : priorisation, architecture cible, configurations de référence, revue des correctifs appliqués. Public concerné : équipes sortant d’un audit avec une liste de correctifs à arbitrer. Durée indicative : de quelques jours à un accompagnement au trimestre. Prix d’entrée : à partir de 990 € HT. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Un rapport d’audit : définition qui reste dans un tiroir n’a rien changé. La difficulté n’est presque jamais de savoir quoi corriger : c’est d’arbitrer entre trente correctifs, avec une équipe déjà prise par la feuille de route produit, et une production qui ne doit pas tomber.
Cette prestation prend le relais du constat : séquencer les correctifs par rapport effet / effort, concevoir la cible quand une rustine ne suffit pas, fournir des configurations de référence réutilisables, puis vérifier que ce qui a été appliqué tient.
Le travail se fait avec vos équipes. L’objectif est qu’à la fin, vos équipes tiennent le socle sans nous.
Un durcissement qui n’est pas surveillé se défait tout seul. Une exception temporaire accordée pour une urgence reste en place, un nouveau serveur est monté depuis une vieille image, et la configuration dérive. Les configurations de référence sont donc livrées avec un moyen de détecter l’écart, pour que le socle reste durci après le départ du prestataire.
En résumé
- Durée indicative
- de quelques jours à un accompagnement au trimestre
- Prix
- à partir de 990 € HTpar jour d’accompagnement, ou au forfait sur un périmètre défini
- Référentiels appliqués
- CIS BenchmarksANSSI, guides d’hygièneISO/IEC 27001OWASP ASVS
Mission conduite sous accord de confidentialité, sur un périmètre écrit au cadrage.
Réponse à toute demande sous 24 h ouvrées.
Durcissement : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Priorisation
Reprise des constats et classement par exposition réelle et par effort, avec un plan en vagues tenable par l’équipe.
Architecture cible
Segmentation, gestion des identités et des accès, cloisonnement des environnements, gestion des secrets, chemins d’administration.
Configurations de référence
Socles durcis réutilisables : systèmes, conteneurs, cloud, CI/CD, livrés en infrastructure as code quand c’est possible.
Revue des correctifs
Vérification technique de ce qui a été appliqué, et des régressions éventuelles introduites par la correction.
Durcissement : que livre la mission ?
- Plan de remédiation séquencé, avec charge estimée par lot
- Schéma d’architecture cible et écarts par rapport à l’existant
- Configurations de référence et modèles d’infrastructure as code
- Revue de correctifs et attestation de ce qui est effectivement corrigé
Qu’est-ce que cela change pour vous ?
- Un plan tenable plutôt qu’une liste de trente correctifs sans ordre
- Un socle durci réutilisable pour les environnements suivants
- Des correctifs vérifiés plutôt que simplement déclarés
Durcissement : pour qui est-ce utile ?
- Équipes sortant d’un audit avec une liste de correctifs à arbitrer
- Organisations sans profil sécurité dédié en interne
- Projets de refonte où la cible doit être pensée en amont
- Suites d’incident, pour reconstruire sur des bases saines
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Durcissement : combien de temps dure la mission ?
Durée indicative : de quelques jours à un accompagnement au trimestre. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Fixer ce qui est traité, les objectifs mesurables et les personnes à associer.
- 02
État des lieux
Relever l’existant : configurations, outils, procédures, journaux, et l’écart avec le référentiel retenu.
- 03
Plan priorisé
Classer les actions par risque réduit et par effort, avec une personne responsable et une échéance pour chacune.
- 04
Mise en œuvre accompagnée
Réaliser ou guider les changements avec vos équipes, par lots, en limitant l’effet sur la production.
- 05
Contrôle des résultats
Vérifier par un test ou une mesure que chaque changement produit l’effet attendu.
- 06
Remise et suite
Remettre la documentation, former les équipes qui reprennent, proposer la suite si elle est utile.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez traiter, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Le prix plancher affiché (990 € HT) est un point de départ : le devis fixe le prix pour votre périmètre.
Durcissement : ce qu’on nous demande
Pouvez-vous appliquer les correctifs vous-mêmes ?
Sur un périmètre défini et avec un accès encadré, oui. Mais nous poussons d’abord à ce que vos équipes le fassent, en binôme avec nous : le correctif tient plus longtemps quand celui qui exploite le système l’a écrit et l’a compris.
Travaillez-vous sur un audit réalisé par un autre prestataire ?
Oui, c’est fréquent. Nous commençons alors par une relecture critique du rapport : tri des constats exploitables, écartement du bruit, et vérification des points structurants avant de bâtir le plan.
Le durcissement risque-t-il de casser des applications qui fonctionnent aujourd’hui ?
C’est le risque principal, et c’est pourquoi le durcissement ne s’applique jamais en une fois. Chaque mesure passe d’abord en mode d’observation quand c’est possible : on journalise ce qu’elle aurait bloqué, on examine le résultat avec les équipes applicatives, puis on bascule en blocage sur un groupe pilote avant de généraliser. Un retour arrière est prévu pour chaque lot, avec le critère qui déclenche son usage. Les mesures qui touchent à des protocoles hérités, comme la signature obligatoire ou la désactivation d’une ancienne authentification, sont précédées d’un inventaire de leurs usages réels. Le plan en vagues sert aussi à cela : étaler le risque de régression plutôt que l’accepter d’un seul bloc.
Pour comprendre avant de décider
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ArticleNIS 2 : qui est concerné, et par où commencer sans tout bureaucratiserLes critères d’assujettissement, les cinq chantiers qui bloquent souvent, et l’ordre dans lequel les traiter pour que la conformité produise de la sécurité réelle.
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
Quelles prestations s’y associent ?
Audit cloud
Dans le cloud, la plupart des incidents partent d’une mauvaise configuration.
2 à 12 joursdès 1 290 €
Pentest interne
Simuler ce qui se passe après l’ouverture de la première pièce jointe.
3 à 12 joursdès 2 400 €
Supervision & SOC
Une attaque que personne ne voit dure plus longtemps et coûte plus cher.
mise en place de 2 à 6 semaines, puis supervision continuedès 290 €
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « Durcissement » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début