Évaluation de sécurité · Examen de la posture
Famille de services: CybersécuritéUn portrait clair de votre posture de sécurité et des priorités à corriger
Nous examinons la façon dont votre organisation encadre, protège et rétablit ses systèmes et ses données, comparons nos constats à des contrôles de base reconnus et vous remettons un plan priorisé, rédigé en langage clair.
En bref
- Service
- Un examen ponctuel et global de la posture de sécurité organisationnelle et technique, accompagné d’un plan de correction priorisé
- Idéal pour
- Organisations d’environ 5 à 200 employés qui ne savent pas où se trouvent leurs principales lacunes de sécurité
- Domaines examinés
- Gouvernance et politiques, inventaire des actifs, identités et authentification multifacteur, terminaux, courriel, sauvegarde et reprise, périmètre réseau et préparation aux incidents
- Livrables
- Rapport de constats, feuille de route de correction classée par risque, sommaire de direction et rencontre de présentation
- Non inclus
- Tests d’intrusion, exploitation de vulnérabilités, revue de code, tests de sécurité physique et opinions d’audit officielles
- Base de tarification
- Prix fixe établi selon la taille et la complexité, proposé puis confirmé dans une soumission écrite
- Pour commencer
- Réservez une consultation pour convenir de la portée, ou commandez une évaluation ciblée comme l’Évaluation de sécurité Microsoft 365
Qu’est-ce qu’une évaluation de sécurité ?
Une évaluation de sécurité est un examen structuré de la façon dont votre organisation gère le cyberrisque sur les plans des personnes, des processus et de la technologie. Elle vise l’étendue plutôt que la profondeur : qui prend les décisions de sécurité, quelles politiques existent, comment les comptes et les appareils sont protégés, comment le courriel est filtré, si les sauvegardes peuvent être restaurées et si quelqu’un sait quoi faire en cas d’incident.
Nous utilisons comme points de repère les contrôles de base du Centre canadien pour la cybersécurité destinés aux petites et moyennes organisations, les mesures du groupe de mise en œuvre 1 (IG1) des contrôles CIS et les fonctions du NIST CSF 2.0. Ils donnent à l’examen une structure uniforme et vous permettent de mesurer vos progrès au fil du temps.
Cette démarche diffère d’une évaluation des vulnérabilités, qui analyse les systèmes à la recherche de faiblesses techniques précises, et d’un test d’intrusion, qui tente de les exploiter. Un examen de la posture recommande souvent l’un ou l’autre comme prochaine étape, avec une portée distincte.
Quand les organisations demandent une évaluation
Aucun point de départ
La direction veut investir en sécurité, mais n’a aucune vision objective de ce qui est déjà en place ni des principales lacunes.
Questionnaires d’assurance ou de clients
Un formulaire de renouvellement ou une demande de vérification diligente d’un client pose des questions détaillées auxquelles personne ne peut répondre avec assurance.
Un changement de fournisseur ou de direction
Un nouveau fournisseur TI, un nouveau propriétaire ou un nouveau dirigeant veut un regard indépendant sur les risques hérités.
Après un incident évité de justesse
Une tentative d’hameçonnage, une connexion suspecte ou un portable perdu a soulevé des inquiétudes quant à ce qui pourrait aussi être exposé.
Ce que nous examinons
Gouvernance et politiques
Rôles en matière de sécurité, utilisation acceptable, approbation des accès, risques liés aux fournisseurs et concordance entre les politiques et la pratique réelle.
Inventaire des actifs et des données
Les appareils, services infonuagiques et dépôts de données qui existent, leurs responsables et l’emplacement des renseignements sensibles.
Identités et accès
Couverture de l’authentification multifacteur, comptes administrateurs, accès conditionnel, accès des invités, politique de mots de passe et pratiques de départ du personnel.
Terminaux et correctifs
Couverture de la protection, chiffrement, conformité des mises à jour, droits d’administrateur local et systèmes d’exploitation non pris en charge.
Courriel et collaboration
Filtrage, SPF, DKIM et DMARC, paramètres de partage externe et règles de transfert.
Sauvegarde, reprise et préparation aux incidents
Couverture, isolement et tests de restauration des sauvegardes, et existence d’un plan d’intervention en cas d’incident et d’une liste de personnes-ressources.
Portée de l’évaluation
La soumission écrite énumère les systèmes, les emplacements et les entrevues compris.
Inclus
- Entrevues avec la direction et la personne qui gère actuellement les TI
- Examen en lecture seule de la configuration de sécurité de Microsoft 365 ou de Google Workspace
- Examen des rapports sur la protection des terminaux, les correctifs et le chiffrement
- Examen de la configuration des sauvegardes et des preuves de restauration récentes
- Examen de la configuration du pare-feu et de l’accès à distance lorsque l’accès nous est fourni
- Constats associés aux contrôles de base, avec cotes de risque
- Feuille de route de correction et sommaire de direction, avec rencontre de présentation
Non inclus, sauf portée distincte
- Tests d’intrusion ou toute tentative d’exploiter des vulnérabilités
- Analyse authentifiée des vulnérabilités de chaque appareil (voir Évaluation des vulnérabilités)
- Tests de sécurité du code source ou des applications Web
- Tests de sécurité physique ou d’ingénierie sociale
- Opinions d’audit officielles, attestation de conformité ou certification
- Conseils juridiques sur les obligations en matière de vie privée ou d’atteintes
Systèmes et référentiels que nous évaluons couramment
- Configuration de Microsoft 365, Entra ID, Intune et Microsoft Defender
- Paramètres d’administration et de sécurité de Google Workspace
- Parcs de terminaux Windows et macOS et Windows Server
- Pare-feu d’entreprise, RPV et passerelles d’accès à distance
- Plateformes de sauvegarde infonuagiques et sur place
- Contrôles de base du Centre canadien pour la cybersécurité, contrôles CIS IG1 et NIST CSF 2.0 comme cadres de référence
À qui elle convient
Un premier investissement en sécurité
Organisations qui veulent dépenser judicieusement et ont besoin d’une liste priorisée plutôt que d’un argumentaire de vente.
Cabinets réglementés ou soucieux de confidentialité
Équipes en services professionnels, en santé et en finance qui préparent des preuves pour leurs clients, leurs assureurs ou leurs propres conseillers.
Organisations qui envisagent CyberSécuritaire Canada
Équipes qui envisagent le programme CyberSécuritaire Canada et veulent connaître leurs écarts par rapport aux contrôles de base avant de décider.
Ce que vous obtenez
- Une vision objective de votre posture de sécurité, en langage clair
- Des constats classés selon le risque et l’effort pour planifier vos investissements
- Des preuves à l’appui de vos réponses aux questionnaires d’assureurs et de clients
- Un point de référence pour mesurer vos progrès futurs
- Des recommandations claires sur la pertinence de tests plus poussés
Le déroulement de l’évaluation
Définition de la portée
Nous convenons des systèmes, des sites et des personnes visés, et organisons un accès en lecture seule.
Entrevues et collecte de données
De courtes entrevues avec la direction et les personnes-ressources en TI, suivies d’exportations de configuration et de rapports.
Analyse
Les constats sont associés aux contrôles de base et cotés selon leur probabilité et leurs conséquences pour l’entreprise.
Rapport et feuille de route
Vous recevez les constats, un sommaire de direction et un plan de correction ordonné.
Présentation
Nous présentons les résultats à votre direction et répondons aux questions ; les corrections peuvent ensuite être réalisées par votre équipe, par nous ou par un autre fournisseur.
Options d’évaluation
Les prix fixes sont proposés, puis confirmés dans une soumission écrite.
Évaluation de sécurité complète
L’examen global de la posture décrit sur cette page, adapté à votre taille et à vos emplacements.
Évaluations ciblées
Évaluations de la sécurité Microsoft 365, de la sécurité des terminaux, de la sauvegarde et de la reprise ou du réseau, lorsque vous connaissez déjà le domaine préoccupant.
Bilan de l’infrastructure TI
Un examen opérationnel plus large qui couvre la sécurité ainsi que les risques liés à la fiabilité et au cycle de vie.
Questions fréquentes
Une évaluation de sécurité est-elle la même chose qu’un test d’intrusion ?
Non. Nous examinons la configuration, les pratiques et les preuves en fonction de contrôles de base. Nous ne tentons pas d’exploiter les systèmes. Si les constats le justifient, nous pouvons vous aider à définir la portée d’un test d’intrusion confié à une firme spécialisée.
L’évaluation nous rendra-t-elle conformes ou certifiés ?
Non. Elle relève les écarts par rapport à des contrôles reconnus. Toute détermination de conformité ou évaluation officielle est une démarche distincte qui relève de vos auditeurs et de vos conseillers.
Devons-nous acheter des services gérés par la suite ?
Non. Le rapport vous appartient, et la feuille de route peut être réalisée par votre propre personnel, par nous selon une soumission distincte ou par un autre fournisseur.
Combien de temps faut-il ?
Les délais dépendent de votre taille et de la rapidité avec laquelle les accès et les entrevues peuvent être organisés ; nous confirmons l’échéancier dans votre soumission.
Cela va-t-il déranger notre personnel ?
Très peu. La majeure partie du travail repose sur un accès en lecture seule et des rapports, en plus de quelques courtes entrevues planifiées selon les disponibilités de votre équipe.
Services connexes
Produits et forfaits
Secteurs que nous soutenons
Régions desservies
Commencez par un portrait honnête de votre posture de sécurité
Parlez-nous de votre organisation et nous vous proposerons par écrit une portée d’évaluation et un prix fixe.