Conseil strategique en securite
Integrer la securite des le debut de vos projets de developpement
Nous n'avons rien d'autre à vous vendre que notre opinion
Les conseils en matière de sécurité n'ont de valeur que si la personne qui les donne n'a aucun intérêt personnel dans la réponse.
CREDS est une entreprise autofinancée et détenue à 100 % par ses collaborateurs. Nous n'avons pas de société mère qui nous fixe des objectifs, pas de calendrier imposé par des investisseurs qui influence nos recommandations, ni de relations avec des fournisseurs à préserver. Nous ne revendons pas de produits, nous ne percevons pas de commissions de parrainage et nous n'avons pas de quota de licences à atteindre.
Cela signifie que lorsque nous vous disons qu'un outil dont vous disposez déjà suffit, ou que la bonne solution consiste à améliorer un processus plutôt qu'à acheter quelque chose, ce conseil n'est motivé par rien d'autre que le conseil lui-même.
Cela signifie également que nous vous le dirons si nous ne sommes pas en mesure de vous apporter la solution. Si un problème nécessite les services d'un cabinet de conseil en gouvernance, d'un programme de sensibilisation ou d'un service géré, nous vous le ferons savoir et nous vous orienterons vers un professionnel compétent.
Des conseils stratégiques dans l'esprit d'un hacker
La plupart des conseils en matière de sécurité proviennent de personnes qui ont lu des articles sur les attaques. Les nôtres proviennent de personnes qui les commettent.
Cela change la donne. Lorsque nous examinons une architecture, nous ne la comparons pas à un cadre de référence ; nous déterminons par où nous commencerions si l'on nous demandait de la contourner. Lorsque nous examinons une feuille de route, nous nous demandons laquelle de ces douze initiatives aurait réellement permis d’éviter les trois dernières missions que nous avons menées. Lorsque nous évaluons un contrôle, nous savons à quoi il ressemble vu de l’autre côté, car c’est de ce côté-là que nous passons la majeure partie de notre temps.
Nos consultants ne constituent pas un cabinet de conseil distinct. Ce sont eux qui dirigent nos missions red team et de tests d'intrusion, ce qui signifie que leurs conseils s'appuient sur ce qui menace actuellement des organisations comme la vôtre, plutôt que sur les recommandations formulées l'année dernière.
Chaque mission est supervisée par une personne justifiant de plus d'une décennie d'expérience.
Les questions que les gens nous posent
Le domaine du conseil est très vaste. Voici les questions qui reviennent le plus souvent. Si la vôtre ne figure pas ici, n'hésitez pas à la poser quand même.
Par où commencer ?
Vous savez que le programme de sécurité a besoin d'être amélioré, mais vous ne savez pas par où commencer. Nous vous aidons à identifier les actions à impact rapide, ces mesures faciles à mettre en œuvre qui permettent de réduire les risques réels en quelques semaines plutôt qu'en plusieurs trimestres, et à les distinguer des tâches qui nécessitent véritablement la mise en place d'un projet.
Quelle devrait être notre feuille de route ?
Une feuille de route pluriannuelle en matière de sécurité, élaborée en fonction de votre profil de risque réel et de votre environnement de menaces, plutôt que d'un modèle de maturité générique. Ce qu'il faut faire ce trimestre, cette année, et ce qui peut, en toute honnêteté, attendre.
Dépensons-nous notre argent à bon escient ?
Les budgets consacrés à la sécurité ne cessent d'augmenter. Nous examinons vos dépenses, ce qu'elles vous permettent d'acquérir, et dans quels autres domaines ces mêmes fonds permettraient de réduire davantage les risques. Il arrive parfois que la solution réside dans le fait que vous disposez déjà de l'outil adéquat, mais que vous ne l'utilisez pas correctement.
Nous sommes en train de construire quelque chose de nouveau. Comment faire pour que cela soit une réussite ?
Une analyse de l'architecture et de la conception avant toute mise en œuvre, accompagnée d'une modélisation des menaces du point de vue d'un pirate. Corriger une faille de conception sur un tableau blanc ne nécessite qu'une discussion. La corriger après le lancement coûte un cycle de mise à jour.
Dans quelle mesure l'entreprise que nous sommes sur le point d'acquérir est-elle sûre ?
Due diligence en matière de sécurité pour les acquisitions et les investissements : ce que vous achetez, ce dont vous héritez et le coût de la mise en conformité. Adaptée au calendrier de votre transaction.
Notre organisation actuelle est-elle réellement solide ?
Un avis indépendant sur les systèmes, l'architecture et les contrôles que vous avez déjà mis en place, émis par des personnes qui n'hésiteront pas à vous dire quand la réponse est « oui ».
La plateforme assure une surveillance en continu. Nous intervenons lorsque cela s'avère nécessaire.
Les conseils d'achat reviennent généralement à acheter de la disponibilité : un forfait, un nombre fixe de jours par mois, un RSSI à temps partiel dans le cadre d'un contrat à durée indéterminée. Vous payez pour garantir la continuité, car il n'y a pas d'autre moyen d'y parvenir.
Notre approche est différente. Lorsque vous utilisez notre plateforme ART, c'est la plateforme elle-même qui assure la continuité. Elle effectue des tests en continu, suit les modifications et signale les changements, sans que personne n'ait besoin d'assister à une réunion pour que cela se produise.
Cela permet à nos consultants de se consacrer à ce pour quoi ils sont réellement précieux : leur capacité de jugement. Que signifie ce constat pour votre entreprise ? Lequel de ces trois problèmes est le plus important, compte tenu de ce que nous savons de votre secteur ? Cela mérite-t-il un projet ou une modification de configuration ? Devriez-vous vous en inquiéter, ou s'agit-il d'un simple bruit de fond ?
La plateforme se charge de la surveillance. Nous intervenons lorsqu'il y a matière à réflexion.
Cela signifie également que ces conseils peuvent être validés. Nous pouvons vous recommander une modification, puis la plateforme peut vérifier si cette modification fonctionne réellement, plutôt que de vous laisser supposer que c'est le cas.
Les missions de conseil constituent des prestations autonomes, mais elles peuvent également s'accompagner d'un abonnement ART. Vous n'avez pas besoin de la plateforme pour nous poser une question.
Adapté à la question
Certaines questions prennent une journée. D'autres, quatre semaines. Très peu prennent un an, et nous préférerions ne pas vous en vendre une.
La portée d'une mission de conseil CREDS est définie en fonction de la question qui vous préoccupe concrètement. Il peut s'agir d'une journée passée à travailler sur une décision de conception avec vos architectes, d'une semaine consacrée à l'examen de l'affectation de votre budget de sécurité pour l'année prochaine, ou encore de quatre semaines de diligence raisonnable dans le cadre d'une acquisition, en vue d'une échéance de transaction.
Il ne s'agit pas d'un contrat de services permanents que vous devez justifier en interne chaque trimestre. Vous nous soumettez une question, nous vous indiquons approximativement ce qu'il faudra pour y répondre correctement, et une fois la réponse apportée, l'affaire est réglée.
Si la relation s'installe durablement, tant mieux, et c'est le cas pour la plupart d'entre elles. Mais cela devrait être parce que vous continuez à vous poser des questions qui méritent d'être posées, et non parce que vous avez signé un document.
Une journée
Une décision de conception, un deuxième avis sur une architecture, un atelier avec votre équipe ou une vérification de la cohérence d'un projet.
Une semaine ou deux
Une feuille de route, un bilan des investissements en matière de sécurité ou une analyse permettant de déterminer par où commencer.
Jusqu'à quatre semaines
Une vérification préalable en vue d'une échéance de transaction, une revue complète de l'architecture ou un programme développé à partir de zéro.
Déroulement d'une mission
- 01
C'est vous qui nous posez la question
Un bref entretien, sans engagement, afin de cerner clairement ce que vous cherchez réellement à déterminer. Souvent, la question que les gens posent au départ n'est pas tout à fait celle à laquelle il faut répondre, et il est important de le clarifier avant que quiconque ne vous propose un devis.
- 02
Nous en définissons le périmètre en toute honnêteté
Nous vous indiquons ce que cela impliquera : combien de jours, qui interviendra de notre côté et ce dont nous aurons besoin de votre part. Si nous estimons que la réponse à votre question peut être apportée plus rapidement que vous ne le pensiez, nous vous le signalons.
- 03
C'est nous qui nous en chargeons
Entretiens, analyse des documents et de l'architecture, examen technique le cas échéant, et échanges directs avec les personnes qui connaissent le fonctionnement réel des choses, plutôt que leur description telle qu'elle figure dans la documentation.
- 04
Nous vous faisons part de notre avis
Un livrable écrit et une session pour l'étudier en détail, destinés à tous ceux qui doivent en tirer parti : vos architectes, votre équipe de sécurité ou votre conseil d'administration.
Ce que vous recevez
Une réponse claire à la question que vous avez posée. En vous basant sur le raisonnement qui le sous-tend, et non sur une note de maturité.
Recommandations classées par ordre de priorité. Réparti entre ce qu’il faut faire tout de suite, ce qu’il faut prévoir et ce qui peut attendre.
Les résultats immédiats explicitement mis en avant. Ce que vous pouvez mettre en place au cours des prochaines semaines avec les collaborateurs dont vous disposez déjà.
Un livrable écrit. Adapté à la mission : une note de synthèse pour une mission d'une journée, un rapport complet pour une mission de quatre semaines.
Une séance de travail. En discuter avec les personnes qui doivent passer à l'action.
Une réponse claire sur ce pour quoi nous ne pouvons pas vous aider. Et qui le peut.
Avec qui nous travaillons habituellement
Directeurs techniques et responsables de l'ingénierie
Vous êtes en train de développer un projet et vous souhaitez que les décisions en matière de sécurité soient prises correctement dès le départ, par une personne qui s'impliquera réellement dans l'architecture plutôt que de se contenter de vous remettre une liste de contrôle.
Responsables de la sécurité des systèmes d'information (RSSI) et responsables de la sécurité
Vous avez besoin d'un avis indépendant sur une feuille de route, un budget, un fournisseur ou un projet que vous vous apprêtez à présenter au conseil d'administration, émanant de personnes qui n'ont aucun intérêt dans l'issue de la situation.
Conseils d'administration, investisseurs et développement d'entreprise
Vous devez savoir ce que vous achetez, ce dont vous héritez et combien coûteront les réparations, tout en respectant le calendrier de la transaction.
Responsables informatiques ne disposant pas d'une équipe dédiée à la sécurité
C'est à vous qu'incombe cette responsabilité, mais vous ne disposez pas des connaissances spécialisées nécessaires, et vous avez besoin que quelqu'un vous explique clairement par où commencer.
Questions concernant les missions de conseil
Combien de temps dure une période de fiançailles ?
Devons-nous signer un contrat d'engagement ?
En quoi cela diffère-t-il d'un cabinet de conseil en gouvernance ou en conformité ?
Vendez-vous ou revendez-vous des produits de sécurité ?
Avons-nous besoin de la plateforme ART pour travailler avec vous ?
Pourriez-vous nous aider à décider par où commencer ?
Pouvez-vous réaliser une vérification préalable en matière de sécurité dans le cadre d'une acquisition ?
Nous direz-vous si nous n'avons plus besoin de vous ?
Posez-nous une question
Dites-nous quelle décision vous essayez de prendre. Nous vous expliquerons ce qu'il faudrait pour y répondre correctement, et si nous sommes les personnes les plus à même de le faire.