Ce que ce n'est pas
Ce n'est pas quelqu'un qui tente de pirater votre entreprise. Ce n'est pas non plus un document de deux cents pages en anglais que personne ne lira.
C'est un état des lieux : où en êtes-vous, quels sont les risques réels, et par quoi commencer.
Phase 1 - On discute
Une matinée d'entretiens. Que fait l'entreprise, qui utilise quoi, qu'est-ce qui serait catastrophique à perdre, qu'est-ce qui vous inquiète. On parle métier avant de parler technique.
Cette phase révèle souvent l'essentiel. Le dirigeant qui dit « de toute façon tout est sur le serveur », et le comptable qui précise « sauf mon fichier de suivi, il est sur mon portable » : voilà un risque identifié en trois minutes.
Phase 2 - On regarde
L'inventaire du parc, l'état des mises à jour, la configuration de la messagerie, les droits d'accès, l'état réel des sauvegardes, le réseau et le Wi-Fi. C'est la partie technique, généralement une à deux journées selon la taille.
Elle est peu intrusive : on observe, on relève, on ne modifie rien sans vous prévenir.
Phase 3 - On restitue
Deux documents, volontairement :
- Une synthèse courte pour la direction : les trois ou quatre risques majeurs, en français, avec ce qu'ils impliqueraient concrètement.
- Un détail technique pour ceux qui mettront en œuvre.
Et surtout un plan d'action classé : ce qui est urgent, ce qui peut attendre le trimestre, ce qui relève du confort. Avec un ordre de grandeur de coût pour chaque point.
Ce que vous en faites ensuite
Ce que vous voulez. Beaucoup traitent eux-mêmes les points gratuits - mots de passe, comptes obsolètes, double authentification - et nous confient le reste. D'autres échelonnent sur l'année.
L'important, c'est que vous sachiez. Une entreprise qui connaît ses trois faiblesses principales et décide de n'en corriger qu'une est dans une bien meilleure position que celle qui ignore tout.
