Security Reality Check

Le problème

Le dirigeant ne sait pas à quel point son entreprise est vulnérable. Il ne veut pas d'un audit ISO de 40 pages qu'il ne pourra de toute façon pas exécuter — il veut savoir : suis-je une cible facile, et qu'est-ce qui est urgent ? Pour ceux qui relèvent de NIS2, s'ajoute la pression réglementaire : tout le monde en a entendu parler, mais personne ne l'applique concrètement.

Le scan

2 à 3 jours. Des entretiens avec les personnes clés, un examen technique léger, et un benchmark par rapport à ce qui est la norme aujourd'hui pour une entreprise de votre taille. Pas de théâtre de pentest, pas de vente par la peur — une image honnête.

Le résultat : un tableau de bord (rouge / orange / vert par domaine, comparé à une base de référence du marché) plus le top 5 des priorités, chacune avec coût, impact et urgence.

Constats typiques

• Pas d'authentification multifacteur sur les comptes admin ni sur la boîte mail du dirigeant lui-même — alors que le phishing et la fraude au CEO entrent précisément par cette boîte. Le gain le plus grand et le moins cher qui existe.
• « Nous avons des backups » — mais personne n'a jamais testé une restauration. Dans un scénario ransomware, il s'avère alors que le backup a été chiffré lui aussi, ou échoue depuis des mois.
• Des comptes d'anciens employés encore actifs. Des mots de passe partagés sur un post-it. Tout le monde avec des droits admin « parce que c'est plus simple ».
• Un NAS, un système de caméras ou un vieux serveur directement exposé à Internet sans que personne ne s'en rende compte.
• Personne ne peut dire qui a accès à quelles données clients — un risque RGPD et NIS2 en un.
• Une cyberassurance existe, mais les conditions de la police (MFA obligatoire, backups testés) ne sont pas respectées. En cas de sinistre, il n'y a donc pas de couverture.

La suite

Pour qui veut aller plus loin : déployer le MFA, mettre en place une stratégie de backup et de restauration testée, une courte sensibilisation du personnel, et si nécessaire un trajet de conformité NIS2. Les entreprises qui font examiner plusieurs piliers passent souvent, à terme, à un pilotage IT fixe et récurrent.