Évaluations
Revue de sécurité cloud
Revue en lecture seule avec des identifiants restreints que vous provisionnez, complétée par des sessions d'architecture avec votre équipe. Nous n'avons pas besoin, et ne demandons pas, d'accès admin en production.
Périmètre
- Gestion des identités et des accès : rôles, politiques, hygiène des clés et des identifiants
- Exposition réseau : points d'accès publics, groupes de sécurité, chemins d'entrée
- Stockage des données : chiffrement, politiques d'accès, exposition des sauvegardes
- Gestion des secrets et dérive de configuration
- Couverture des journaux, de la supervision et des alertes
Méthode
Revue en lecture seule avec des identifiants restreints que vous provisionnez, complétée par des sessions d'architecture avec votre équipe. Nous n'avons pas besoin, et ne demandons pas, d'accès admin en production.
Livrable
Une liste priorisée de constats où chaque élément nomme la ressource affectée, le risque en contexte et le changement de configuration précis qui le corrige.
Méthode
Notre approche
01
Cadrer
Chaque mission commence par un échange de cadrage et se conclut par un accord écrit : votre référentiel cible ou les systèmes et environnements dans le périmètre, ce qui en est explicitement exclu, quels comptes et données nous utilisons, et le calendrier.
02
Évaluer
Nous mesurons votre situation : une analyse d'écarts par rapport à votre référentiel cible, une revue des contrôles, des politiques et des risques, et des tests concrets là où c'est important. Le travail est manuel et méthodique, guidé par l'usage réel du système et par ce qu'un attaquant en voudrait vraiment. L'outillage soutient le travail ; il ne le remplace pas.
03
Expliquer
Vous recevez un rapport écrit et un appel de restitution. La synthèse est écrite pour ceux qui n'étaient pas dans la salle ; chaque constat porte preuves, étapes de reproduction, impact métier et correctif concret.
04
Retester
Quand votre équipe a corrigé, nous retestons les constats concernés et publions un rapport à jour indiquant clairement ce qui est résolu, partiellement résolu ou encore ouvert. Pour un programme de certification, nous préparons les preuves et nous tenons à vos côtés tout au long de l'audit, puis nous vous aidons à le maintenir à jour.
Questions fréquentes
- Quels fournisseurs cloud examinez-vous ?
- AWS, Azure et Google Cloud, ainsi que la configuration de l'identité, du réseau, du stockage de données, des secrets et de la journalisation associée. Nous travaillons à partir d'identifiants en lecture seule et à périmètre restreint que vous provisionnez.
- Avez-vous besoin d'un accès administrateur en production ?
- Non. L'examen se fait en lecture seule avec des identifiants au moindre privilège, combiné à des revues d'architecture avec votre équipe. Nous ne demandons pas d'accès administrateur en production.
- Est-ce la même chose qu'un test d'intrusion ?
- Non, une revue de sécurité cloud examine la configuration et l'architecture à la recherche de réglages par défaut risqués et d'expositions, plutôt que d'exploiter activement une application en fonctionnement. Les deux sont complémentaires.
À lire aussi
Autres évaluations
Les missions sont à périmètre et prix fixes une fois convenus. Si vous hésitez sur le service adapté, qu'il s'agisse d'une préparation à la certification, d'un conseil en GRC ou d'un test d'intrusion, décrivez votre situation et nous recommanderons un périmètre, y compris en vous disant honnêtement si vous n'avez pas encore besoin de nous.