Notre façon de travailler — et pourquoi le rapport est le produit.

Ce qui se passe à chaque étape.

Les six étapes, en détail public.

1. 01 — Cadrage

   Nous commençons par un échange de cadrage mené par un senior afin d'établir le véritable déclencheur (un audit à venir, un questionnaire de sécurité client, une migration cloud récente, une transaction en cours de diligence, un périmètre imposé par un régulateur) et la surface d'actifs concernée. Nous convenons du type de mission, des standards auxquels le travail se référera, des règles d'engagement (fenêtres de test, limites de périmètre d'impact, contacts d'escalade) et des critères de réussite — la forme que le rapport final doit prendre pour celles et ceux qui le liront.

2. 02 — Lancement

   Le lancement confirme les accès (identifiants cloud en lecture seule, accessibilité réseau, comptes de test, fenêtres de gestion du changement) et aligne les chemins d'escalade pour les constats critiques. L'équipe qui mène la mission est celle qui l'a cadrée — uniquement des praticiens seniors, sans transfert à des juniors — et le fondateur est garant de la mission du début à la fin. Nous confirmons l'inventaire des actifs, des environnements et des contraintes, afin que le travail qui suit s'appuie sur ce que votre organisation exploite réellement.

3. 03 — Exécution

   L'exécution est guidée par des hypothèses et manuelle là où cela compte. Pour la sécurité applicative, nous suivons OWASP WSTG et l'OWASP API Security Top 10. Pour les surfaces réseau et cloud, nous nous appuyons sur PTES, NIST SP 800-115 et les CIS Benchmarks. Pour les exercices red team, nous modélisons le comportement de l'adversaire à l'aide de MITRE ATT&CK. Les outils accélèrent ; le jugement senior décide de ce qui constitue un constat. Nous n'appliquons pas une chaîne « scanner puis copier » — la sortie automatisée est vérifiée à la main avant d'apparaître dans le moindre rapport.

4. 04 — Reporting

   Le reporting est le produit. Chaque constat est documenté avec les preuves permettant de le reproduire (captures requête/réponse, captures de trafic, transcriptions de commandes, copies d'écran), les composants affectés, l'impact métier et la remédiation recommandée. La première version est relue par les pairs au regard de la matrice des standards avant de quitter le cabinet ; le fondateur relit personnellement les parties destinées à la direction. Le résultat est le dossier de mission à trois livrables — voir le modèle de reporting ci-dessous.

5. 05 — Restitution

   La réunion de restitution est une séance de travail, le rapport à l'écran — les équipes techniques parcourent les constats techniques, la direction parcourt la Synthèse exécutive des risques, et nous convenons ensemble de l'ordre de priorité du Plan d'action. C'est à ce moment que le contexte d'impact métier prend tout son sens : un constat à CVSS élevé sans chemin d'exploitation réel est revu à la baisse ; un constat à CVSS moyen qui rompt un engagement de sécurité pris envers un client est revu à la hausse.

6. 06 — Clôture

   La clôture couvre le périmètre de contre-test (quels constats sont re-testés et selon quel calendrier), la conservation des preuves (les preuves de la mission sont conservées selon notre politique de rétention standard et détruites sur demande) et le canal de conseil qui reste ouvert pour les questions de suivi. Pour les forfaits récurrents, nous passons à la cadence convenue au cadrage — généralement une revue mensuelle et une réévaluation trimestrielle.

Le modèle de reporting en détail.

Trois livrables pour qu'exploitation, lacune de contrôle et impact métier racontent la même histoire.

• Rapport technique — pour vos équipes techniques.

  Le corps reproductible du travail. Chaque constat comporte : un titre et une catégorie clairs ; le composant, le point d'accès ou l'actif affecté ; les étapes de reproduction, suffisamment complètes pour qu'un ingénieur interne puisse les exécuter dans un environnement de test ; les preuves capturées (couple requête/réponse, transcription, capture de trafic ou copie d'écran) ; le score CVSS avec sa chaîne vectorielle ; la justification d'impact métier qui a transformé le score technique en gravité finale ; et la remédiation recommandée, rédigée pour l'ingénieur qui la mettra en œuvre. Les constats sont regroupés par composant affecté, afin qu'un seul responsable puisse voir tout ce qui concerne son périmètre.

• Synthèse exécutive des risques — pour la direction et le conseil.

  Le récit de niveau conseil d'administration. Pas de tableaux CVSS — l'audience de direction ne note pas les vulnérabilités, elle prend des décisions de gestion du risque. La synthèse répond à quatre questions : qu'a révélé la mission, qu'est-ce que cela signifie pour l'activité si rien ne change, quel est l'ordre de priorité pour le trimestre à venir, et quelles preuves étayent ces conclusions. Le même document sert aussi de réponse lorsqu'une équipe sécurité cliente ou un régulateur demande comment le risque cyber est géré.

• Plan d'action — pour celles et ceux qui corrigeront.

  Priorisé, avec un responsable désigné et calibré sur la capacité réelle de l'équipe. Le Plan d'action fait le lien entre les constats du Rapport technique et votre feuille de route d'ingénierie. Chaque action de remédiation comporte un responsable clair, une estimation de l'effort, ses dépendances vis-à-vis d'autres actions et un critère de vérification, afin que le contre-test puisse confirmer la clôture. Maintenir les contrôles de sécurité à jour suppose que ce plan soit réellement réalisable par l'équipe — et non une liste de 50 points qui n'aboutit nulle part.

Comment nous notons la gravité.

Le CVSS pour le score technique ; une lecture d'impact métier pour la gravité finale.