Mandat à portée fixe
Revue de sécurité infonuagique
Vous voulez savoir si votre entreprise pourrait réellement être compromise — et faire colmater les brèches, pas seulement les faire lister. Cette revue trouve les moyens par lesquels un attaquant pourrait vraiment entrer, corrige les plus dangereux et laisse à votre équipe une liste claire et priorisée pour le reste.
Dites-nous ce qui se passeEn bref
- Idéal pour
- Une vision fiable de l’exposition infonuagique réelle
- Échéancier typique
- Quelques semaines
- La plupart des premières revues
- 8 500 $ à 15 000 $ CAD
- Résultat principal
- Principaux risques corrigés ; le reste priorisé
Le problème que règle une évaluation de sécurité infonuagique
Situation courante : le scanneur déclenche des centaines d’alertes, la conformité affirme que tout va bien, et personne ne peut dire quels problèmes créent un véritable chemin d’attaque vers une brèche. Cause profonde : la sévérité selon le CVSS et les scores de posture ne modélisent pas l’atteignabilité, le rayon d’impact des identités ni les frontières de confiance — le risque réel est donc enseveli sous le bruit.
Ce que vous possédez à notre départ
- Un registre d’expositions priorisé lié à des chemins d’attaque concrets (entrée → identité → rayon d’impact), chaque élément étant coté selon les chemins que nous évaluons comme les plus atteignables et leur impact, pas selon un score de scanneur.
- Un modèle de menaces de votre environnement examiné (frontières de confiance, flux d’identité, les chemins qui comptent réellement).
- Des pull requests Terraform/IaC qui corrigent les constats les mieux classés (IAM resserré, exposition publique supprimée, segmentation, lacunes de journalisation comblées) — fusionnées ou prêtes à être fusionnées dans votre dépôt.
- Un court carnet de tâches priorisé pour tout ce qui est dans la portée mais non implémenté, rédigé pour que votre équipe ou un mandat de suivi puisse l’exécuter.
- Des ADR pour toute décision structurelle que nous avons prise.
Pas un PDF de constats. Pas une présentation. Les correctifs sont du code dans votre dépôt — et si le conseil veut un PDF, nous en exporterons un décrivant des changements déjà livrés.
Notre façon de procéder
- 01
Découverte
Nous lisons directement vos comptes, vos configurations et vos contraintes (accès en lecture seule à portée définie ou état exporté), nous cartographions l’état actuel réel et nous convenons d’une portée écrite et de critères de réussite avant d’écrire la moindre ligne de code.
- 02
Registres de décisions d’architecture (ADR)
Nous consignons les décisions clés — ce que nous faisons, les options écartées et les raisons — sous forme d’ADR dans votre dépôt, afin que le raisonnement survive longtemps après notre départ et que vous puissiez le remettre en question avant que nous construisions quoi que ce soit.
- 03
Implémentation
Nous bâtissons la solution sous forme de Terraform/IaC révisable, dans de petites pull requests testées et intégrées à votre CI, pour que vous la voyiez arriver progressivement et que rien ne débarque comme une boîte noire.
- 04
Transfert
Nous guidons votre équipe en direct à travers le dépôt, le modèle de menaces et les guides d’exploitation, nous confirmons que vous pouvez l’appliquer, le détruire et l’étendre vous-mêmes, puis nous partons. Vous êtes propriétaires de tout : il n’y a pas de phase 5 où vous avez encore besoin de nous.
Forme du mandat
Une revue bornée et à portée fixe sur un ensemble défini de comptes/clouds, généralement quelques semaines de travail chevronné, avec une liste de livrables fixe convenue d’avance. La plupart des premières revues se situent entre 8 500 $ et 15 000 $ CAD — les environnements plus petits coûtent moins que cela — et le prix fixe exact est convenu par écrit après le cadrage. C’est la façon la moins engageante de commencer à travailler avec nous : si elle fait ressortir des travaux plus importants de socle, d’accès ou de réseautique, le coût est intégré à ce mandat.
Prix fixe, convenu par écrit avant de commencer. Vous pouvez vous arrêter au point de décision et conserver tout ce qui a été produit.
- Garantie de 90 jours : tout ce que nous avons livré qui ne se comporte pas comme documenté, nous le corrigeons sans frais.
- La découverte utilise normalement des rôles restreints et en lecture seule que vous créez et pouvez révoquer ; le traitement des données est convenu avant l’accès.
- Si la revue fait ressortir un travail de réalisation plus vaste, les frais sont reportés sur ce mandat.
- Un Bloc d’ingénierie senior est disponible par la suite si le prochain carnet de tâches est mieux géré sous forme d’heures flexibles.
Un exemple illustratif du format
## EXP-001 — public jump host can assume the CI deploy role [rank 1]
Path: internet → EC2 (sg inbound 22 from 0.0.0.0/0) → instance profile
→ sts:AssumeRole ci-deploy → s3:* on the prod data buckets
Why rank 1: two hops from unauthenticated to prod data. The CSPM rated
the security-group finding "Medium" in isolation — reachability and the
role's blast radius are what make it critical.
Fix shipped: fixes/exp-001-jump-host.tf
- SSM Session Manager replaces inbound 22; the security group closes
- ci-deploy trust policy scoped to the runner role + ExternalId
- s3:* narrowed to the two buckets CI actually writes
Residual: none observed after apply — see threat-model/ci-deploy.mdFAQ
Questions sur ce mandat
Qu’est-ce que j’obtiens réellement — s’agit-il seulement d’un rapport ?
Non. Les mandats de construction se terminent par de l’infrastructure sous forme de code dans votre dépôt : Terraform/IaC, l’ensemble de garde-fous (Service Control Policies ou équivalents), un modèle de menaces, des ADR et des guides d’exploitation. Les documents servent à aider un ingénieur à exécuter le code — ils ne remplacent jamais le changement fonctionnel. Du code qui vous appartient, pas des diapositives. Les logiciels en production, les formats techniques illustratifs et les dépôts publics présentés sur ce site montrent comment nous documentons et construisons.
Pourquoi ne pas simplement utiliser un SaaS de CSPM/gouvernance ou un cabinet des Big Four ?
Un tableau de bord SaaS observe et alerte ; il applique rarement les règles à l’intérieur de vos comptes, et le contrôle s’en va avec l’abonnement. Un mandat auprès d’un cabinet des Big Four se termine souvent par un cadre de référence et une recommandation d’embaucher des bâtisseurs. Nous construisons les contrôles d’application sous forme de code que vous conservez. Différents outils ont leur place — mais si vous voulez une application que vous possédez, c’est précisément ce que nous faisons.
Et si quelque chose cesse de fonctionner après votre passation et votre départ ?
Le travail que nous livrons inclut une garantie de 90 jours : s’il ne se comporte pas comme documenté, nous le corrigeons sans frais — il s’agit d’un défaut, et non d’une nouvelle portée ni de temps déduit d’un bloc d’ingénierie. Le code et la documentation utilisent des outils standards que votre équipe ou un autre ingénieur peut maintenir. Si vous souhaitez nous faire revenir, la suite peut être un autre projet défini ou un bloc d’heures prépayées.
Pouvons-nous vous garder après le mandat ?
Oui. Un Bloc d’ingénierie senior est un bassin d’heures prépayées pour des investigations, des revues, des changements, du débogage, des questions ou de petites parties de mise en œuvre convenus. Il peut suivre un projet ou exister par lui-même. Ce n’est ni un abonnement, ni un contrat de service géré, ni un service d’astreinte d’urgence. Une formation pratique est aussi offerte dans votre environnement réel plutôt qu’avec du matériel de cours générique. Ni l’un ni l’autre n’est requis ; les transferts de projet sont conçus pour que votre équipe puisse exploiter le résultat sans nous.
Nous avons déjà une équipe de sécurité / une équipe de plateforme. Pourquoi vous faire intervenir ?
Habituellement parce qu’elle est à pleine capacité, ou parce que le travail exige une profondeur chevronnée précise (conception de zone d’atterrissage, application du « zéro confiance », routage hybride, garde-fous d’IA) difficile à doter pour une construction ponctuelle. Nous travaillons sous forme de PR révisables dans votre CI, de sorte que votre équipe révise et assimile tout au fur et à mesure — au moment du transfert, c’est véritablement à elle, et non une boîte noire qu’on lui a imposée.
De quel accès avez-vous besoin, et comment gérez-vous nos données et nos identifiants ?
La découverte utilise normalement des rôles IAM à portée limitée et en lecture seule que vous créez et pouvez révoquer — et non des clés à longue durée de vie qui nous sont remises. Lorsque c’est possible, la mise en œuvre s’exécute à l’intérieur de votre tenant et de votre CI. Les exports, les copies de travail, la rétention, la suppression, l’emplacement des données et les fournisseurs de services requis sont tous délimités pour le mandat et convenus avant l’octroi de l’accès. Vous pouvez aussi inspecter le site public : des analytiques auto-hébergées sans témoins, une CSP propre, aucun enregistrement de session et aucun traceur publicitaire.