YH Consulting Cabinet de conseil — France & Maroc
Parler de votre projet

IV Expertise

Cybersécurité

Savoir où vous êtes exposé, ce que cela coûterait, et dans quel ordre corriger. Puis corriger avec vous : identités, certificats, applications, infrastructure.

Point d'entrée
Audit et analyse d'écart
Technique
Tests d'intrusion · PKI · IAM · sauvegardes
Référentiels
ISO 27001 · NIS 2 · RGPD · DORA

Le constat

La question n'est plus « si » mais « ce que ça vous coûtera ».

La réglementation a changé de nature. NIS 2 étend le périmètre à des milliers d'organisations qui ne se considéraient pas concernées, et engage la responsabilité des dirigeants. DORA fait de même dans la finance.

Notre travail n'est pas de vous vendre de la peur ni des licences. C'est de mesurer votre exposition réelle, de la traduire en euros et en jours d'arrêt, puis de définir la séquence de corrections qui réduit le plus de risque au moindre coût.

Nous ne nous arrêtons pas au rapport. Le cabinet réalise lui-même les tests d'intrusion web, conçoit et exploite des infrastructures de certificats (PKI) et de gestion des identités (IAM), sécurise les applications qu'il développe et durcit les serveurs qu'il héberge.

Vous êtes concerné si

  • Vous entrez dans le périmètre NIS 2 sans savoir par où commencer.
  • Un client ou un assureur exige une certification ISO 27001.
  • Une application exposée sur Internet n'a jamais été testée.
  • Vos certificats expirent sans prévenir, votre PKI n'est pas industrialisée.
  • Vos prestataires accèdent à votre SI sans cadre formalisé.
  • Un incident est survenu et vous voulez éviter le suivant.

Nos interventions

De l'état des lieux à la maîtrise

  1. 01

    Audit de sécurité

    Évaluation technique et organisationnelle : architecture, identités, postes, cloud, sauvegardes, chaîne fournisseurs et pratiques réelles des équipes.

    • Revue d'architecture et de segmentation
    • Gestion des identités et des accès privilégiés
    • Test de restauration des sauvegardes
    • Exposition externe et surface d'attaque
  2. 02

    Tests d'intrusion & sécurité applicative

    Tests d'intrusion d'applications web et d'API, réalisés en interne sur un périmètre écrit et autorisé, avec GHOST, la plateforme d'audit conçue par le cabinet (ghost.yhconsulting.fr). Chaque constat est reproductible, noté et assorti de sa correction.

    • Tests d'intrusion web et API selon la méthodologie OWASP
    • Constats notés CVSS, classés CWE, avec preuves reproductibles
    • Revue de code et audit des dépendances des applications
    • Contre-test après correction
  3. 03

    Ingénierie PKI, identités & infrastructure

    Conception, exploitation et automatisation des briques de sécurité que nous connaissons de l'intérieur : infrastructures de certificats, gestion des identités et des accès, durcissement des serveurs.

    • Architecture et exploitation de PKI, cycle de vie des certificats
    • Automatisation du renouvellement et supervision des expirations
    • IAM : gouvernance des identités, accès privilégiés, authentification forte
    • Durcissement Linux : SSH par clé, pare-feu, journalisation, sauvegardes testées
  4. 04

    Sauvegarde & restauration

    Une sauvegarde ne vaut que par la restauration qu'on en a faite. Nous concevons le dispositif, l'automatisons, l'externalisons, puis nous restaurons réellement, sur un environnement à blanc, avant de le déclarer fiable.

    • Stratégie 3-2-1 : copies locales, hors site et hors ligne
    • Sauvegardes chiffrées de bases, fichiers et configurations, rotation et rétention
    • Tests de restauration planifiés, chronométrés et documentés
    • Objectifs RPO / RTO mesurés, supervision et alertes d'échec
  5. 05

    Conformité & certification

    Analyse d'écart puis accompagnement jusqu'à l'audit de certification. Nous construisons un SMSI utilisable, pas un classeur destiné à l'auditeur.

    • Analyse d'écart ISO 27001 / NIS 2 / DORA
    • Politiques, procédures et registre de traitements
    • Analyse de risques et déclaration d'applicabilité
    • Préparation et accompagnement à l'audit
  6. 06

    Plan de remédiation

    Une feuille de route ordonnée par réduction de risque par euro investi. Chaque action a un porteur, une échéance et un critère de clôture.

    • Priorisation risque / coût / délai
    • Chiffrage et plan de charge
    • Pilotage de la remédiation
    • Revue trimestrielle du niveau de risque
  7. 07

    Résilience & crise

    Plan de continuité, procédures de réponse à incident, exercices de crise avec le comité de direction et sensibilisation des collaborateurs.

    • PCA / PRA et objectifs RTO / RPO
    • Procédures de réponse à incident
    • Exercice de crise en conditions réelles
    • Sensibilisation et campagnes de phishing

Référentiels

Les cadres sur lesquels nous travaillons

  • ISO/IEC 27001
  • NIS 2
  • RGPD / GDPR
  • DORA
  • ANSSI
  • NIST CSF 2.0
  • ITIL 4
  • CIS Controls v8
  • PCI DSS
  • Loi 09-08

Ce que vous recevez

  • Rapport d'audit technique et organisationnel
  • Rapport de test d'intrusion : constats notés CVSS, preuves et corrections
  • Plan de sauvegarde et procès-verbaux de restauration
  • Analyse de risques valorisée en impact métier
  • Analyse d'écart par rapport au référentiel visé
  • Plan de remédiation priorisé, chiffré et daté
  • Corpus documentaire du SMSI
  • Support de restitution pour le comité de direction

Questions fréquentes

Sommes-nous concernés par NIS 2 ?

La directive vise dix-huit secteurs et s'applique en fonction de la taille et de l'activité, y compris par ricochet via la chaîne d'approvisionnement. Nous qualifions votre situation en quelques jours, avant tout engagement.

Réalisez-vous des tests d'intrusion ?

Oui, en interne, sur les applications web et les API. Le périmètre est écrit et autorisé avant tout test ; les tests suivent la méthodologie OWASP et s'appuient sur GHOST, la plateforme d'audit du cabinet. Vous recevez un rapport avec scoring CVSS, preuves reproductibles et corrections, puis un contre-test. Les constats rejoignent le plan de remédiation.

Intervenez-vous sur la PKI et la gestion des identités ?

Oui : architecture, exploitation et automatisation de PKI, cycle de vie des certificats, gouvernance des identités et des accès privilégiés. Ce sont des sujets que le cabinet pratique en mission longue chez de grands comptes, pas seulement en audit.

Pouvez-vous reprendre nos sauvegardes existantes ?

Oui. Nous commençons par restaurer ce que vous avez déjà, sur un environnement séparé, pour savoir ce qui est réellement récupérable et en combien de temps. Ensuite seulement nous corrigeons le dispositif : automatisation, chiffrement, copie hors site, tests de restauration récurrents.

Combien de temps pour une certification ISO 27001 ?

Cela dépend entièrement de votre maturité de départ et du périmètre retenu — nous ne donnons pas de délai avant de les avoir mesurés. L'analyse d'écart initiale suffit à vous donner cette visibilité, et elle vient en premier.

Intervenez-vous en cas d'incident en cours ?

Nous accompagnons la coordination de crise, la communication et la reconstruction. Pour l'investigation forensique proprement dite, nous mobilisons des spécialistes reconnus du domaine.

Poursuivre la lecture

Prochaine étape

Savoir où vous en êtes prend trois semaines, pas six mois.

Nous qualifions gratuitement votre assujettissement NIS 2 et votre niveau d'exposition avant tout engagement.

Demander une qualification

Ou écrivez-nous contact@yhconsulting.fr