Dossier de compétences
Six domaines, et pour chacun des exemples concrets tirés de missions réelles.
Auditer et évaluer
Un audit reproductible, qui part des usages réels et se termine par des priorités claires pour le décideur.
Outils : Recommandations de l’ANSSI
- Une méthode en quatre phases
- Cadrage, inventaire et collecte, analyse, restitution. Une trame d’audit de 150 points, modulable par volet (pare-feu, Wi-Fi, postes, sauvegarde) dont les volets pare-feu et Wi-Fi reprennent les recommandations de l’ANSSI.
- Un rapport à deux niveaux
- Une synthèse exécutive pour les décideurs, centrée sur les impacts métier et les priorités, et des annexes techniques pour les équipes informatiques.
- Le cadre avant les tests
- Pas de test intrusif sans mandat explicite : l’audit repose sur l’inventaire, la revue des configurations et les entretiens. Si le client souhaite éprouver son exposition, la mission est conduite avec une entreprise externe spécialisée, dans un cadre défini avec lui.
- Du constat à la mise en œuvre
- Équipement de remplacement préparé et testé en atelier, intervention limitée au remplacement physique, retour arrière prévu et réalisable de quelques minutes à une heure selon le projet et le nombre d’environnements.
Concevoir une architecture sécurisée
Partir de l’existant réel, poser un modèle cible Zero Trust et le traduire en code.
Outils : Azure, Management Groups, NSG, Azure Firewall, WAF, Terraform, Azure DevOps
- Une gouvernance conçue de zéro
- Hiérarchie de Management Groups et séparation des environnements sur un environnement Azure hérité et fragmenté.
- Un résultat mesuré
- Microsoft Secure Score de 40 à 90 % sur 25 souscriptions, sans recommandation critique ni chemin d’attaque ouvert.
- Un cloisonnement à deux niveaux
- Souscriptions séparées entre technique et production, sous-réseaux et filtrage entre environnements clients, refus par défaut et ouverture explicite des seuls flux nécessaires.
- Dimensionné par paliers
- Architecture adaptée à la volumétrie des clients hébergés, de quelques centaines à plusieurs dizaines de milliers d’utilisateurs, avec haute disponibilité pour les plus importants.
- Des changements encadrés
- Modèle décrit en Terraform, changements validés par un comité à deux niveaux : aucun changement n’atteint la production sans avoir été examiné par ceux qui l’exploitent.
Protéger identités, accès et données
Limiter ce que chacun peut faire, tracer ce qu’il fait et protéger ce qui permet de repartir après un incident.
Outils : Entra ID, PIM, accès conditionnel, Azure Bastion, Key Vault, SPF, DKIM, DMARC
- Le moindre privilège
- Les droits qui modifient la gouvernance ou les identités s’obtiennent par élévation temporaire validée. Deux comptes de secours, vérifiés à chaque revue mensuelle, évitent de se verrouiller hors de son propre tenant.
- Des accès sans port ouvert
- Sessions d’administration par un service de rebond managé : aucune adresse publique, aucun port d’administration ouvert, authentification préalable, sessions enregistrées.
- Des sauvegardes immuables
- Rétention d’au moins trois mois, sans suppression possible avant l’échéance, y compris par un administrateur : la parade au rançongiciel qui détruit d’abord les sauvegardes.
- Secrets et certificats
- Jetons, clés et certificats des chaînes d’automatisation centralisés dans un coffre, accès tracés, renouvellement possible sans interruption de service.
- Messagerie
- SPF, DKIM avec deux sélecteurs pour renouveler les clés sans coupure, DMARC en surveillance avant tout durcissement.
Détecter et répondre
Voir ce qui compte, le voir tôt, et savoir comment réagir.
Outils : Wiz, CrowdStrike, Microsoft Sentinel, Defender for Cloud, Azure Monitor
- Priorisation par chemins d’attaque
- Avec Wiz, la liste à traiter est classée selon ce qu’un attaquant peut réellement enchaîner (faille, exposition, permissions) plutôt que selon le score de chaque faille. Résultat : zéro vulnérabilité critique ou haute exploitable.
- Un EDR en deux temps
- Détection seule d’abord, prévention ensuite, lot par lot, avec l’éditeur. Couverture de 100 % du parc, quelques faux positifs sur Windows et aucun incident d’exploitation provoqué par le déploiement.
- Centralisation et réaction
- Sources de sécurité centralisées dans Microsoft Sentinel, playbooks d’automatisation, procédure de gestion des incidents et matrice d’escalade.
- Un contrôle en trois niveaux
- Contrôle continu par les plateformes d’analyse de posture, revues périodiques de configuration avec les équipes sur ce qu’un outil ne sait pas juger, et audits ponctuels sous forme de tests d’intrusion menés par un prestataire externe, dont je participe au cadrage et à la restitution.
Déployer, automatiser et mesurer
Rendre les opérations reproductibles, mesurer avant d’optimiser et traiter la cause plutôt que le symptôme.
Outils : Ansible, Terraform, Azure DevOps, Azure Update Manager, Azure Monitor, Application Insights, Centreon, Rundeck
- Une configuration par rôle, en code
- Référentiels de configuration par rôle de serveur en Ansible et Terraform, via Azure DevOps : paramétrage reproductible et vérifiable.
- Des mises à jour planifiées
- Fenêtres de maintenance planifiées selon la criticité des services, interventions regroupées pour n’immobiliser le service qu’une seule fois.
- Mesurer à trois niveaux
- Infrastructure, application et service tel que le perçoit l’utilisateur, ramenés vers un outil central. Une ligne de base avant les seuils, des seuils placés en amont de la dégradation visible.
- Chercher la cause, pas le symptôme
- Un service redémarré trop souvent d’un mois sur l’autre a révélé un défaut applicatif : mesures remises aux développeurs, correctif déployé, redémarrages supprimés.
- Automatiser avec un contrôle humain
- Corrections récurrentes (redémarrage d’un service, nettoyage de disque) préparées en amont et déclenchées par le support après vérification du contexte.
Décider, piloter et transmettre
Une architecture ne vaut que si elle est choisie pour de bonnes raisons, comprise par ceux qui l’exploitent et tenue dans la durée.
Outils : Microsoft Cost Management, Azure DevOps, Wiz
- Instruire une décision
- Critères fixés avant d’examiner les offres, recommandation qui distingue ce qui est établi de ce qui est estimé.
- Le coût sur tout le cycle de vie
- Acquisition, intégration, migration, exploitation, évolution tarifaire. Engagement pluriannuel recommandé seulement si le besoin est durable.
- Piloter sans autorité hiérarchique
- Attendus clairs et vérifiables, point hebdomadaire, tâches assez courtes pour tenir dans des disponibilités fragmentées, conflits de priorités remontés aux responsables concernés.
- Conduire le changement
- Changements examinés par les équipes qui les exploitent avant la production, documentation réservée aux évolutions structurantes, présentations conçues pour provoquer des retours avant généralisation.
- Former et veiller
- Équipes formées aux dispositifs introduits, veille technologique et réglementaire sur sources anglophones, pour repérer les évolutions de standards avant qu’elles ne deviennent contraignantes.
Ce que je ne fais pas.
Savoir ce qu’on ne couvre pas fait partie du métier. Je préfère le dire avant le début d’une mission.
Je ne réalise pas de tests d’intrusion.
Je participe à leur cadrage et à leur restitution, avec un prestataire spécialisé, sur un mandat explicite.
Je conçois et je mets en place.
L’exploitation quotidienne reste confiée à vos équipes ou à un prestataire, avec des procédures claires.
Aucune solution ne couvre tout.
Je vous dis ce qu’elle ne couvre pas, avant que vous ne signiez.
Un besoin dans l’un de ces domaines ?
Un échange de 30 minutes pour comprendre votre contexte et vous dire honnêtement si, et comment, je peux vous aider.