Questions fréquentes

Un audit qui examine toute l'entreprise, de l'extérieur vers l'intérieur : ce qui est exposé sur internet, les applications et accès distants, la capacité de détection et de réaction, le facteur humain, puis les sauvegardes et la capacité à redémarrer. CyberBastion360 appelle cette méthode « De la façade aux fondations ».

Le diagnostic « Vu par un pirate » montre ce qu'un pirate voit de votre entreprise depuis internet :

• la configuration de votre domaine et de vos emails (DNS, SPF, DKIM, DMARC) ;
• les noms de domaine sosies qui pourraient servir à vous usurper ;
• les identifiants de vos collaborateurs ayant fuité ;
• les services exposés sur internet ;
• le chiffrement (TLS) et la version de votre site ou CMS.

Non. Il est offert et sans engagement. Vous recevez un premier diagnostic et un plan d'action priorisé, puis vous décidez si vous voulez aller plus loin.

Trois choses : la liste de vos adresses web (site, sous-domaines, portails clients, extranet, API), deux comptes de test fictifs sans données sensibles, et un accord écrit qui autorise l'intervention sur un périmètre défini ensemble.

Non. Les tests sont menés en autonomie et de façon contrôlée, sur un périmètre validé avec vous. Vos équipes n'ont presque rien à faire.

• Façade publique : services exposés inutilement, versions non mises à jour, chiffrement faible, mots de passe présents dans des fuites connues.
• Attaque ciblée : contournement des contrôles d'accès, injections, comptes faciles à compromettre, accès aux données d'autres utilisateurs.
• Test des réflexes : alertes qui ne remontent pas, délais de réaction, procédures inconnues ou non appliquées.
• Crash test : le chemin complet d'un attaquant réel, de la première faille jusqu'à vos données ou votre production, sans information préalable et en incluant le facteur humain.
• Fondations : sauvegardes non testées, absence de plan de reprise, rôles mal définis en cas d'incident.

Attaque

• Diagnostiquer, sans rien toucher : « Vu par un pirate » (offert) ; messagerie et comptes (configuration Microsoft 365 ou Google Workspace, MFA, comptes administrateurs, partages, règles de transfert) ; postes, réseau et accès distants (antivirus ou EDR, mises à jour, chiffrement, droits administrateur, box et pare-feu, Wi-Fi, VPN) ; sauvegardes et continuité (règle 3-2-1, copie immuable ou déconnectée, test de restauration) ; capacité de détection (journaux, durée de conservation, alertes) ; organisation et conformité (procédures, accès des prestataires, RGPD, obligations du secteur, exigences de l'assureur).
• Tester, avec votre autorisation : tests d'intrusion web et WordPress, externe (IP, VPN, services), API et applications métier, interne et Active Directory, ingénierie sociale, contre-test après correction.

Résolution

• Sécuriser : anti-usurpation des emails (DMARC jusqu'à p=reject, protection des domaines dormants) ; comptes et accès (MFA partout, comptes nominatifs, gestionnaire de mots de passe, comptes administrateur séparés, accès des prestataires) ; durcissement Microsoft 365 et Google Workspace (accès conditionnel, liens de partage, anti-phishing, journalisation) ; postes (EDR, BitLocker, Intune, mises à jour, retrait des droits administrateur) ; sauvegardes immuables ou déconnectées et procédure de restauration ; site web et WordPress (mises à jour, extensions, WAF, en-têtes de sécurité) ; réseau et accès distants (pare-feu, Wi-Fi invité séparé, fermeture des services exposés) ; correction des failles.
• Former : ateliers de sensibilisation, campagnes de phishing simulé avec micro-formation après chaque clic et tableau de bord.

Gouvernance

• Piloter : RSSI externalisé (comité périodique, plan d'action, tableau de bord, lien avec votre prestataire informatique) ; charte informatique et procédures (email suspect, compte piraté, changement de RIB, arrivées et départs) ; dossier d'assurance cyber ; réponses aux questionnaires sécurité de vos clients et aux appels d'offres ; conformité NIS2, sectorielle et RGPD ; plan de reprise simplifié.
• Surveiller : veille sur votre exposition et les fuites d'identifiants, supervision des postes, gestion des règles de détection, vérification des sauvegardes, revue périodique de Microsoft 365.

Oui. Nous préparons le dossier d'assurance cyber (questionnaire, preuves, points bloquants), accompagnons la conformité NIS2, sectorielle et RGPD, et répondons aux questionnaires sécurité de vos clients et aux appels d'offres avec un dossier de preuves.

L'audit donne une vue d'ensemble de votre niveau de sécurité. Le test d'intrusion (pentest) va plus loin sur un périmètre précis : on tente réellement d'exploiter les failles, comme un attaquant, pour prouver ce qui est atteignable.

Ce sont les termes du métier pour désigner nos angles d'intervention :

• Blue Team : mesurer votre exposition et vos défenses telles qu'elles sont réellement.
• Red Team : attaquer comme un pirate pour prouver ce qui est exploitable.
• Purple Team : attaque et défense ensemble, pour améliorer la détection en direct.
• Black Team : le facteur humain et l'accès physique (ingénierie sociale, locaux).

Une vision claire de votre niveau de sécurité sans jargon technique, des preuves concrètes (captures d'écran, chemins d'accès) et un plan d'action priorisé qui indique quoi corriger en premier.

CyberBastion360 est basée à Paris et intervient partout en France et en Europe.

Aux PME, ETI, collectivités, administrations et fédérations sportives qui veulent connaître et réduire leur exposition aux cyberattaques.