Conseil
Conseil en cybersécurité technique
Un conseil qui part du terrain : ce que nos experts Red Team, OSINT / CTI et DevSecOps constatent en attaquant vos systèmes devient un plan de durcissement concret, et des preuves techniques directement exploitables pour vos audits ISO 27001, NIS2 ou DORA.
Nos domaines
Sur quoi porte le conseil SSHack ?
Le conseil SSHack porte sur quatre domaines que nos experts pratiquent en mission : durcissement Active Directory et infrastructure (selon les recommandations de l'ANSSI), réduction de l'exposition en sources ouvertes, sécurité du développement (DevSecOps, OWASP SAMM) et préparation aux TLPT. Nous conseillons uniquement là où nous attaquons.
Durcissement Active Directory et infrastructure
- Chemins d'attaque vers les comptes à privilèges
- Modèle en tiers, délégations, GPO
- Segmentation et exposition des services
- Plan de durcissement priorisé
Exposition et menace (OSINT / CTI)
- Cartographie de la surface d'attaque externe
- Identifiants et données fuités (Stealint)
- Menaces et modes opératoires de votre secteur
- Recommandations de réduction de l'exposition
Sécurité du développement (DevSecOps)
- Revue des pratiques de développement
- Chaîne CI/CD et gestion des secrets
- Dépendances et composants tiers
- Tests de sécurité intégrés au cycle
Préparation TLPT et exercices
- Préparation au TLPT exigé par DORA
- Scénarios d'attaque fondés sur la menace
- Exercices Red Team et Purple Team
- Entraînement de vos équipes de défense
Conformité
Quelles preuves techniques pour vos audits de conformité ?
ISO 27001, NIS2, DORA ou PCI DSS demandent de tester l'efficacité de vos mesures de sécurité. Nous ne pilotons pas votre mise en conformité : nous produisons les preuves techniques que votre RSSI, votre cabinet de conformité ou votre auditeur de certification attendent.
| Référentiel | Exigence concernée | Ce que nos travaux vous apportent |
|---|---|---|
| ISO 27001:2022 | Annexe A, mesures 8.8 (gestion des vulnérabilités techniques) et 8.29 (tests de sécurité dans le développement et l'acceptation) | Rapport de pentest ou de revue de code daté, périmètre, vulnérabilités et recommandations |
| NIS2 | Article 21 : mesures de gestion des risques, dont l'évaluation de leur efficacité | Résultats de tests offensifs montrant ce qui résiste réellement à une attaque |
| DORA | Articles 24 à 26 : programme de tests de résilience opérationnelle numérique, TLPT | Tests d'intrusion, exercices Red Team, préparation et renfort TLPT |
| PCI DSS v4 | Exigence 11.4 : tests d'intrusion internes et externes réguliers | Rapport de test d'intrusion sur le périmètre de données de cartes |
| RGPD | Article 32 : tester, analyser et évaluer régulièrement l'efficacité des mesures de sécurité | Audit technique des applications et systèmes traitant des données personnelles |
Profils de nos experts
Tous nos experts sont issus du Ministère des Armées avant d'avoir rejoint le secteur privé : ils apportent le regard de ceux qui attaquent et défendent des systèmes sensibles.
Pentester Red Team
- Red Team et pentest interne
- Sécurité Active Directory
- Certifications OSCP et OSEP
- Architecture et durcissement
Spécialiste OSINT & Threat Intelligence
- Analyse de la menace
- Exposition en sources ouvertes
- Reverse engineering de malwares
- Réponse à incident
Ingénieur DevSecOps
- Sécurité dès la conception
- Chaînes CI/CD durcies
- Applications web et Android
- Gestion des secrets
FAQ
Questions fréquentes sur le conseil
Accompagnez-vous la certification ISO 27001 ?
Pas en tant que cabinet de conformité : nous ne rédigeons pas votre politique de sécurité et ne pilotons pas le projet de certification. Nos pentests, audits Active Directory et revues de code fournissent en revanche des preuves techniques de l'application des mesures 8.8 et 8.29 de l'annexe A, présentables telles quelles à votre auditeur de certification.
Proposez-vous un RSSI externalisé ?
Non. Nous travaillons avec votre RSSI, interne ou externalisé, et avec votre cabinet de conformité : nous leur apportons des constats techniques vérifiés et un plan de durcissement priorisé, qu'ils intègrent à leur pilotage des risques.
Sous quelle forme recevez-vous les résultats ?
Un rapport technique avec synthèse managériale, remis sous NDA et présenté lors d'une restitution. Chaque vulnérabilité y est décrite avec sa sévérité, ses preuves d'exploitation (captures, preuves de concept) et une recommandation, pour être reprise dans votre registre des risques, votre outil de GRC ou de ticketing, ou remise à vos auditeurs et partenaires.
Le conseil est-il lié à un pentest ?
Le plus souvent, oui : nos recommandations partent de ce que nos experts constatent en attaquant vos systèmes. C'est ce qui les rend concrètes et priorisées par le risque réel, plutôt que par une liste de contrôles théoriques.
Contact
Échanger sur vos enjeux cybersécurité
Décrivez votre contexte, vos obligations réglementaires (ISO 27001, NIS2, DORA…) et vos priorités : nous vous proposons les tests et l'accompagnement technique adaptés.
Issus du Ministère des Armées
Pentesters Red Team certifiés OSCP et OSEP, spécialistes OSINT et DevSecOps.
Confidentialité
NDA, données chiffrées, destruction sécurisée des traces en fin de mission.
Toute la France
Paris, Marseille, Nice, Bordeaux : sur site ou à distance.
Merci, votre message a bien été envoyé. Nous vous répondons rapidement.