Accompagnement en cybersécurité
Beaucoup d’entreprises n’ont rien de particulier à faire tester. Elles ont un serveur de fichiers, des comptes Microsoft 365, un logiciel métier, et une inquiétude un peu floue. Cet accompagnement est fait pour elles : on regarde ensemble comment vous travaillez, on décide quoi sécuriser en premier, et je vous aide à le mettre en place.
Comment ça se passe
On commence par une consultation. Trente minutes en visio, gratuites. Avant de parler technique, je cherche à comprendre l’entreprise : votre métier et vos process, qui s’occupe de l’informatique en interne et avec quelles compétences, vos prestataires, les services extérieurs dont vous dépendez (logiciel de paie, hébergeur, outil de caisse). Ensuite seulement, on descend d’un cran. Qui est administrateur ? À quoi ressemble votre système d’information aujourd’hui ? Comment sont gérés les mots de passe et les connexions ?
Si ça vaut le coup d’aller plus loin, je passe une à deux journées à faire le tour de votre installation avec vous ou votre prestataire. Vous repartez avec une liste de priorités courte et classée, un peu comme une ordonnance : ce qui est urgent, ce qui peut attendre six mois, et ce qui ne sert à rien chez vous.
La suite dépend de vous. Vous pouvez appliquer la liste avec votre prestataire informatique. Ou me faire revenir une ou deux journées par mois pour avancer ensemble.
Ce qu’on peut faire ensemble
- Comptes et accès
- Double authentification partout où c’est possible, comptes d’administration séparés, et des départs de salariés qui ferment vraiment les accès.
- Microsoft 365 et Azure
- La configuration par défaut laisse des portes entrouvertes : partages externes, anciens protocoles d’authentification, droits trop larges. Je forme des ingénieurs sur Azure (AZ-305), c’est mon terrain.
- Nouvelle infrastructure
- Nouveaux locaux, migration, télétravail : on prévoit la sécurité avec votre prestataire informatique avant l’installation. La rattraper après coûte nettement plus cher.
- Procédures
- Une charte informatique que les gens lisent, une procédure d’arrivée et de départ, et un plan d’urgence d’une page pour le jour où quelque chose arrive.
- Sauvegardes
- Vérifier qu’une copie survit à un ransomware : hors ligne ou immuable, et surtout testée. Une sauvegarde qu’on n’a jamais restaurée reste une hypothèse.
- Sensibilisation
- Une session avec vos équipes sur le phishing et la fraude au faux fournisseur, avec des exemples qui ressemblent aux emails que vous recevez vraiment.
- Exigences extérieures
- Traduire NIS2, ISO 27001 ou le questionnaire sécurité d’un gros client en actions concrètes, dans un ordre qui tient compte de votre budget.
Pourquoi un pentester pour vous accompagner
Je passe le plus clair de mon temps à attaquer des entreprises, avec leur accord, depuis 7 ans. Les entrées que je trouve le plus souvent sont banales : un mot de passe réutilisé, le compte d’un ancien salarié resté actif, un serveur oublié qui n’est plus mis à jour.
Mes conseils partent de ce que je vois en mission, et je vous dirai aussi quand une dépense peut attendre. Un pare-feu dernier cri, par exemple, n’est peut-être pas la priorité si les mots de passe ressemblent à « azerty », si les serveurs ne sont plus mis à jour ou si chaque utilisateur est administrateur de son poste.
Des attaques célèbres, des portes d’entrée banales
Les attaques qui font la une partent rarement d’une technique sophistiquée. Cinq exemples, documentés par les entreprises elles-mêmes ou par les autorités.
Frigos de supermarchés, France, 2026
Des pirates prennent la main sur les contrôleurs de froid de supermarchés, ces boîtiers accessibles directement depuis Internet. Le CERT-FR n’a pas publié le point d’entrée exact, mais ses consignes parlent d’elles-mêmes : retirer les boîtiers d’Internet, mettre à jour leur firmware, changer les mots de passe par défaut.
Alerte CERT-FR CERTFR-2026-ALE-012Equifax, 2017
Une faille dans un composant web, rendue publique en mars 2017 avec son correctif. L’alerte interne est partie vers une liste de destinataires périmée, le scan n’a rien vu, et le serveur du portail de réclamation n’a jamais été mis à jour. Des inconnus l’ont repéré deux jours après l’annonce de la faille.
Rapport du GAO (Congrès américain), 2018Colonial Pipeline, 2021
Un ancien compte VPN que plus personne n’utilisait, protégé par un seul mot de passe, sans double authentification. Le ransomware qui a suivi a forcé l’arrêt de l’oléoduc pendant plusieurs jours.
Audition du PDG au Sénat américain (transcription officielle)Change Healthcare, 2024
Des identifiants volés, utilisés sur un portail d’accès à distance qui n’avait pas de double authentification. Neuf jours plus tard, le ransomware était lancé.
Témoignage écrit du PDG d’UnitedHealth au Sénat américainFrance Travail, 2024
Des comptes de conseillers Cap Emploi usurpés par ingénierie sociale, une authentification jugée pas assez robuste et des droits d’accès trop larges. Amende de la CNIL : 5 millions d’euros.
Décision de la CNIL, janvier 2026
Fermer chacune de ces portes coûtait peu. Encore fallait-il savoir qu’elle existait.
Pour aller plus loin : le détail de ces attaques et ce qu’elles ont coûté
Vous avez quand même quelque chose à tester ?
Un site, un extranet, un accès à distance : dès que quelque chose est exposé sur Internet, l’audit externe Découverte est un bon point de départ. Une journée, 500 € HT, prix fixe, déduit si un audit suit. Il donne une photo objective de ce qu’un attaquant voit de vous, et l’accompagnement s’appuie dessus.
Questions fréquentes
Je n’ai pas d’informaticien. Est-ce que c’est pour moi ?
Oui. Je parle à la direction en français courant, sans jargon. Si vous avez un prestataire informatique, je travaille avec lui : il garde la main sur votre parc, je l’aide sur la partie sécurité.
Mon budget est très serré. Par où commencer ?
Par MonAideCyber, le dispositif gratuit de l’ANSSI : un aidant fait avec vous un premier diagnostic d’environ une heure et demie et vous laisse quelques mesures prioritaires. Je préfère vous le dire. Si vous voulez aller plus loin ensuite, la consultation reste gratuite.
Vous vendez du matériel ou des logiciels ?
Non, et je ne touche aucune commission d’un éditeur. Quand je recommande un outil, c’est parce qu’il règle votre problème. Assez souvent, vous l’avez déjà : il est inclus dans votre abonnement Microsoft 365.
Combien de temps dure un accompagnement ?
Il n’y a pas de durée imposée. Une petite structure peut régler le plus important en quelques journées étalées sur plusieurs mois. Une entreprise concernée par NIS2 a plutôt besoin de deux ou trois jours par mois sur la durée. On en parle dès la consultation, chiffres à l’appui.
Un audit à prévoir ?
Estimez votre audit en ligne en 2 minutes, ou réservez un échange. Vous repartez avec une fourchette de durée et de prix, sans engagement.
Faire un devis