12 / Offres
Contrôle de la protection
Nous cherchons les failles d'accès et d'échange de données, nous fermons ce qui est critique et nous laissons des règles, pas un rapport ponctuel.
Aux produits qui reçoivent déjà des données d'autrui, ou qui s'apprêtent à ouvrir à un client extérieur.
Accès
Rôles
Client
Employé
Admin
Commande
Fichier
Versement
Connexion
Rôle
Autrui
Fermé
Risque
Liste
De quoi c'est fait
Ce qui entre dans le système
- 01
Entrées
Nous regardons comment on entre : site, espace, API, messagerie, mot de passe commun, compte de test oublié.
- Liste des accès
- Ce qui est ouvert sans connexion
- Où le mot de passe est le même pour tous
- 02
Qui voit quoi
Un rôle ne doit pas ouvrir la commande, le fichier ou le versement d'un autre par un lien direct.
- Le contrôle des droits sur les objets
- Des liens qui vivent trop longtemps
- Les actions d'administration dans le journal
- 03
Les données en transit et sur le disque
Chiffrement là où les données circulent et là où elles reposent. Les secrets ne sont ni dans le dépôt ni dans le chat.
- Canal jusqu'au serveur
- Les copies, et qui les lit
- Où sont les clés, et comment on les change
- 04
Quoi fermer maintenant
Nous classons les constats par gravité. Nous fermons ce qui est critique avant d'écrire un long rapport.
- Une faille par laquelle on peut déjà entrer
- Ce qui se corrige par un réglage
- Ce qui demande un assemblage à part
- 05
Ce qui reste un risque
Tout ne se ferme pas le jour même. Le reste est noté : de quoi il s'agit, qui l'a pris, et quand y revenir.
- La liste des risques acceptés
- Qui répond
- Un second regard après la fermeture
Ce que nous faisons
- 01Parcours des accès et de l'API
- 02Le contrôle des failles courantes
- 03Qui voit quoi à l'intérieur
- 04Le chiffrement là où les données reposent et circulent
- 05Une liste : quoi fermer maintenant, quoi peut attendre
Comment nous avançons
- 01Carte des accès
- 02Contrôle
- 03Rapport
- 04Fermeture de ce qui est critique
- 05Second regard
Sur quoi
- OWASP
- TLS
- Journaux d'accès
- Rôles
Repère de délai
Le premier passage : une à deux semaines. La fermeture des constats : selon leur gravité.
Résultat
On voit quelles failles sont fermées, lesquelles sont acceptées comme risque, et qui en répond.
Ce qui vient en général plus tard
Une supervision continue des attaques et un passage en conditions d'attaque, une fois par trimestre, relèvent déjà de l'accompagnement, pas du premier passage.