Nous recensons ce que votre organisation expose sur Internet, repérons les services oubliés, les vulnérabilités et les changements, et suivons les remédiations jusqu’à leur vérification.
Votre surface d’attaque bouge à chaque mise en production, chaque nouveau service en nuage, chaque intervention de prestataire. Un inventaire fait une fois est périmé quelques semaines plus tard ; les attaquants, eux, balayent Internet en continu.
Nous vérifions donc votre exposition à un rythme convenu, signalons ce qui a changé, et ne clôturons un constat que lorsque la vérification suivante confirme la correction.
Une observation passive et non intrusive ; les tests plus poussés sont confiés à un prestataire que vous mandatez, sur un périmètre autorisé par écrit.
Vous obtenezUn inventaire des actifs exposés
Vous obtenezDes constats classés par gravité
Vous obtenezUn plan de remédiation
Vous obtenezUn historique de l’exposition
Connaître ses actifs et ce qu’on expose est le point de départ de la plupart des textes.
Les entités financières identifient et documentent tous leurs actifs informatiques, y compris sur les sites distants, cartographient ceux qui sont critiques et revoient cette classification au moins une fois par an.12
Leur programme de tests comprend des tests appropriés, tels que des analyses et balayages de vulnérabilités et des évaluations de la sécurité des réseaux.3
Le ReCyF (version de travail) fixe aux entités l’objectif d’identifier leurs besoins d’exposition et de filtrer les flux entrants et sortants, et aux entités essentielles celui de limiter la surface d’attaque de leurs composants.45
Les textes ne s’appliquent pas à toutes les organisations : leur applicabilité dépend de votre statut, de votre secteur, de votre taille et de vos contrats. Elle est à faire confirmer par votre juriste ou un avocat spécialisé.
Vous choisissez le niveau ; le périmètre et les livrables sont fixés par contrat.
Nous vérifions votre exposition à un rythme convenu et vous alertons sur chaque nouveauté et chaque vulnérabilité visible.
LivrablesNous qualifions les constats, écartons les faux positifs et recommandons la remédiation adaptée.
LivrablesNous animons les remédiations avec vos équipes et prestataires jusqu’à la vérification, sans effectuer les changements dans votre SI.
LivrablesUne première cartographie à partir de sources publiques, sans toucher à vos systèmes, dès le cadrage.
Chaque vérification compare avec la précédente : vous voyez ce qui est apparu, ce qui a disparu, ce qui a changé.
Actifs, constats et remédiations dans un outil partagé avec vos équipes et vos prestataires.
La découverte repose sur des sources publiques et des requêtes comparables à celles d’un visiteur. Tout test plus poussé est confié à un prestataire que vous mandatez, sur autorisation écrite, avec un périmètre et des horaires convenus ; nous vous aidons à le choisir.
C’est souvent le plus risqué. Nous aidons à retrouver son propriétaire ; à défaut, à décider de le fermer, avec votre accord.
Selon le rythme de vos changements et la criticité des actifs : nous la fixons au cadrage, et la resserrons quand une vulnérabilité critique touche un type d’équipement que vous exposez.
Indiquez vos domaines principaux. Nous revenons vers vous avec une proposition de première vérification, non intrusive.
Texte exact, dans sa langue d’origine, tiré des référentiels extraits du texte officiel.
32022R2554-a8-p1As part of the ICT risk management framework referred to in Article 6(1), financial entities shall identify, classify and adequately document all ICT supported business functions, roles and responsibilities, the information assets and ICT assets supporting those functions, and their roles and dependencies in relation to ICT risk. Financial entities shall review as needed, and at least yearly, the adequacy of this classification and of any relevant documentation.32022R2554-a8-p4Financial entities shall identify all information assets and ICT assets, including those on remote sites, network resources and hardware equipment, and shall map those considered critical. They shall map the configuration of the information assets and ICT assets and the links and interdependencies between the different information assets and ICT assets.32022R2554-a25-p1The digital operational resilience testing programme referred to in Article 24 shall provide, in accordance with the criteria set out in Article 4(2), for the execution of appropriate tests, such as vulnerability assessments and scans, open source analyses, network security assessments, gap analyses, physical security reviews, questionnaires and scanning software solutions, source code reviews where feasible, scenario-based tests, compatibility testing, performance testing, end-to-end testing and penetration testing.recyf:obj-7Les entités [importantes ou essentielles] identifient les besoins d’exposition des services et interfaces de leurs systèmes d’information ainsi que les besoins d’interconnexion de leurs activités et services à des systèmes d’information tiers.
Ces entités filtrent les communications entrantes et sortantes de leurs systèmes d’information, en particulier les flux dont l’origine, le transit ou la destination est un système d’information tiers.
Les entités [essentielles] cloisonnent leurs systèmes d’information en zones de sécurité cohérentes et contrôlent les communications entre ces zones de sécurité pour les utilisateurs, les prestataires et les fournisseurs.recyf:obj-18Les entités [essentielles] limitent la surface d'attaque des composants de leurs systèmes d’information. Pour ce faire, elles s’assurent que seules les ressources logicielles nécessaires à la réalisation de leurs activités et services ou au maintien en condition opérationnelle ou de sécurité sont installées ou conservées sur leurs systèmes d’information, et elles configurent les ressources de leurs systèmes d’information de manière sécurisée en s’appuyant sur les recommandations de l’autorité nationale de sécurité des systèmes d’information, de l’éditeur de la fonctionnalité ou du fabricant de la ressource..