La sécurité commence par les personnes, pas par les outils.
La technologie ne protège pas toute seule. Vos collaborateurs, vos pratiques quotidiennes et vos décisions de direction comptent autant que vos outils techniques. C'est l'ensemble qui fait votre niveau de protection, pas un dispositif isolé.
Audit de sécurité
Vous voulez savoir où vous en êtes vraiment. Nous évaluons votre sécurité sous ses deux angles : l'organisation et la technique. Informatique gérée en interne ou confiée à un prestataire, nous auditons les deux situations. Notre regard est neutre. Nous ne vendons pas de service informatique et ne sommes donc pas en concurrence avec votre prestataire. Nous cherchons à renforcer ce qui existe, pas à démonter le travail d'un autre. Vous repartez avec une feuille de route priorisée, pas une liste de reproches.
Quatre territoires sur lesquels nous intervenons au quotidien.
Sensibilisation et formation des équipes
L'humain est la cible la plus exposée des attaques actuelles. Et souvent la plus mal accompagnée : campagne annuelle qu'on coche, vidéos génériques, simulations brutales. Nous faisons l'inverse. Nous construisons avec vous un programme calibré sur votre métier, vos risques et le temps disponible de vos équipes. Vos collaborateurs développent des réflexes, pas une méfiance paralysante.
Chartes et directives
Politique de sécurité de l'information, classification des données, gestion des accès, procédures en cas d'incident. Nous rédigeons des textes courts et applicables. Nous les présentons aux équipes, nous revoyons régulièrement avec vous ce qui doit évoluer. Un cadre qui vit, pas un classeur qui dort sur l'étagère.
Démarche de certification ISO 27001
Vous visez la certification ISO 27001, par exigence client, engagement contractuel ou conviction. Nous cadrons le périmètre, nous construisons la documentation, nous préparons l'audit blanc puis l'audit de certification. Vous obtenez le certificat sans transformer votre organisation en machine à paperasse.
Stratégie de sécurité
La sécurité avance souvent au coup par coup. Un outil ajouté après un incident, une mesure parce qu'un client l'exige. Nous posons la stratégie avec vous : ce que vous protégez en priorité, les mesures des deux prochaines années, qui les porte, pour quel budget. Votre direction arbitre sur cette base. Chaque nouvelle dépense de sécurité trouve sa place, ou attend son tour.
Quatre confusions fréquentes sur la sécurité, et ce qu'il en est vraiment.
« On a un antivirus, on est protégés. »
L'antivirus est le niveau 1 d'une chaîne de défense moderne. Il bloque les menaces connues, pas forcément les attaques ciblées. Aujourd'hui, la défense repose sur la détection d'anomalies, le cloisonnement des accès, la sensibilisation humaine et la capacité à réagir vite.
« La sécurité, c'est l'affaire de l'équipe IT. »
Une attaque sur trois passe par un humain : phishing, arnaque au président, manipulation sociale. La sécurité concerne tous les collaborateurs, pas juste les administrateurs réseau. C'est ce qui rend la sensibilisation aussi décisive que la technique.
« On a Microsoft 365, c'est eux qui s'occupent de la sécurité. »
Microsoft sécurise son infrastructure, pas vos usages. Le modèle de responsabilité partagée fait que les configurations, les accès et les sauvegardes spécifiques restent de votre côté. Une mauvaise configuration du tenant ouvre l'organisation tout entière.
« Si on n'a rien à cacher, on n'a rien à craindre. »
Confusion classique entre vie privée et sécurité organisationnelle. Une attaque ne vise pas vos secrets, elle vise votre capacité à fonctionner. Vous pouvez être complètement transparent et perdre une semaine d'activité si vos systèmes sont à l'arrêt.
Ce qu'on nous demande le plus souvent.
C'est notre prestataire informatique qui s'occupe de la sécurité. Avons-nous quelque chose à faire ?
Oui. Votre prestataire fait tourner et protège la technique, c'est son rôle. Mais il ne décide pas à votre place : quels accès pour qui, quelles données comptent le plus, comment vos équipes réagissent à un e-mail douteux. Ces choix restent chez vous. Nous vous aidons à les poser, puis votre prestataire les applique.
Qu'est-ce qui change si on a déjà un prestataire IT ?
Votre prestataire IT s'occupe de votre infrastructure, de vos outils, de la maintenance. Nous nous occupons du dispositif organisationnel comme les politiques, la sensibilisation, la gestion des risques, la préparation aux incidents et le pilotage. Les deux rôles sont complémentaires et nous travaillons bien avec votre prestataire IT actuel.
Combien de temps pour obtenir ISO 27001 ?
Comptez 12 à 18 mois selon votre maturité initiale et la taille du périmètre. Cadrage et politiques au début, puis mise en œuvre progressive, audit blanc, audit de certification. Le plus structurant n'est pas le certificat. C'est la discipline opérationnelle qu'il installe durablement.
Qu'est-ce qu'on fait si on est attaqué ce soir ?
Vous nous appelez. Nous qualifions l'incident dans l'heure, nous cadrons les actions immédiates comme l'isolation des systèmes touchés, la préservation des preuves, les premières communications. Si vous êtes notre client en mandat RSSI ou DPO externe, le plan de crise est déjà écrit et les rôles sont déjà connus.
Pour aller plus loin
Nos articles sur la sécurité de l’information et la cybersécurité, écrits à partir de ce que nous rencontrons en mandat.
Votre client exige des garanties de sécurité. Répondez une fois, pas client par client
Questionnaires de sécurité en appel d'offres, clauses d'audit dans les contrats-cadres. Les donneurs d'ordre déplacent la sécurité vers leurs fournisseurs, et ils s'équipent pour durer. Ce qu'un client attend vraiment, à trois moments, et comment constituer un dossier qui resservira pour tous.
Lire la suite Sécurité de l'informationEmpiler des logiciels de sécurité ne protège pas vraiment votre PME
En cybersécurité, la première question d'une PME ne devrait pas être « quel logiciel de sécurité acheter ? ». Les incidents viennent presque toujours d'un point organisationnel. Trois angles à regarder, et par où commencer sans acheter de logiciel supplémentaire.
Lire la suiteUn incident à gérer ou à anticiper ?
Nous pouvons basculer en mode crise dans l'heure. Si rien ne presse, tant mieux. Les meilleures décisions de sécurité se prennent au calme.
En discuter avec nous