Formation pratique des équipes

Le problème que règle la formation pratique

Situation courante : les gens suivent des cours et obtiennent des certificats, mais ne peuvent toujours pas déboguer les systèmes qu’ils exploitent. Cause profonde : la formation générique enseigne des abstractions sur des environnements jouets ; la vraie assurance vient d’une pratique supervisée sur les systèmes que votre équipe exploite réellement, avec une personne chevronnée qui observe et explique le pourquoi.

Ce que vous possédez à notre départ

• Un plan de formation bâti autour de votre environnement et des lacunes réelles de votre équipe — auditoire, ordre du jour et résultats convenus d’avance.
• Des laboratoires pratiques exécutés sur vos propres systèmes ou sur une copie en bac à sable que nous mettons en place — jamais un locataire de démonstration générique.
• Chaque guide de laboratoire, guide d’exploitation et exercice sous forme de fichiers dans votre dépôt, pour que le matériel survive aux séances et intègre la prochaine recrue.
• Un compte rendu écrit : là où l’équipe est maintenant solide, et ce qu’il faut pratiquer ensuite.

Pas un séminaire de présentations ni une usine à certificats. Des séances de travail sur vos propres systèmes.

Notre façon de procéder

1. 01

   Découverte

   Nous lisons directement vos comptes, vos configurations et vos contraintes (accès en lecture seule à portée définie ou état exporté), nous cartographions l’état actuel réel et nous convenons d’une portée écrite et de critères de réussite avant d’écrire la moindre ligne de code.

2. 02

   Registres de décisions d’architecture (ADR)

   Nous consignons les décisions clés — ce que nous faisons, les options écartées et les raisons — sous forme d’ADR dans votre dépôt, afin que le raisonnement survive longtemps après notre départ et que vous puissiez le remettre en question avant que nous construisions quoi que ce soit.

3. 03

   Implémentation

   Nous bâtissons la solution sous forme de Terraform/IaC révisable, dans de petites pull requests testées et intégrées à votre CI, pour que vous la voyiez arriver progressivement et que rien ne débarque comme une boîte noire.

4. 04

   Transfert

   Nous guidons votre équipe en direct à travers le dépôt, le modèle de menaces et les guides d’exploitation, nous confirmons que vous pouvez l’appliquer, le détruire et l’étendre vous-mêmes, puis nous partons. Vous êtes propriétaires de tout : il n’y a pas de phase 5 où vous avez encore besoin de nous.

Forme du mandat

Une portée fixe comme tout le reste : un auditoire, un ordre du jour et un nombre de séances définis, convenus par écrit d’abord. Livrée à distance ou sur place — de façon autonome, ou comme phase de passation prolongée de tout autre mandat.

Un exemple illustratif du format

## Lab 03 — find and close a public bucket   [45 min, pairs]

Runs in: sandbox-team-a (vended from your own landing zone)

1. Find it the way an attacker would:
   $ aws s3api list-buckets --query 'Buckets[].Name'
   $ aws s3api get-bucket-policy-status --bucket <each>
     → "IsPublic": true on one of them. Which, and why?

2. Read the Terraform that created it (infra/storage/):
   the module predates the org guardrail — no public-access block.

3. Fix it the way we fix it: a pull request, not a console click.
   Add aws_s3_bucket_public_access_block, plan, apply, re-run step 1.

Debrief: why the org guardrail alone didn't catch this, and where
drift like it hides in your estate. → runbooks/public-exposure.md