Objectifs

• Identifier les principales menaces et vulnérabilités d’un système ou d’un environnement
• Identifier des scénarios d'attaques pouvant être menées depuis l’externe ou l’interne dans des conditions réelles
• Proposer un plan d’actions et des mesures de sécurité permettant de compenser les risques identifiés (si applicable)

Méthodologie

• Méthode d’audit respectant les exigences PASSI de l’ANSSI
• Différentes méthodologies selon les cas ou besoins : PTES, OSSTMM, OWASP Testing Guide, etc.
• Test d’Intrusion/Pentest Externe : simulation d’une attaque depuis un réseau externe (Internet)
• Test d’Intrusion/Pentest Interne : simulation d’une attaque depuis l’un des réseaux internes (employé ou prestataire malveillant par exemple)
• Test d’intrusion boîte noire, boîte grise, boîte blanche

Exemples de prestations

• Test d’Intrusion externe application web
• Pentest sur des terminaux mobiles (smartphone, tablette, etc.)
• Audit de postes de travail (test du stagiaire)
• Test d’intrusion sur des réseaux industriels en production
• Tests d’intrusion Wi-Fi

Objectifs

• Évaluer le niveau de conformité à une norme ou un référentiel de sécurité
• Identifier et évaluer les principaux écarts de sécurité
• Identifier un plan d'actions de mise en conformité

Méthodologie

• Référentiels : ISO27001, PCI-DSS, ITIL, ISO22301, COBIT, ISM-3 et NIST SP800-53
• Lois et règlements : LPM et décrets associés selon secteurs d’activité
• Données personnelles : RGPD/CNIL
• Bonnes pratiques : Hygiène informatique, Notes Techniques ANSSI, etc.

Exemples de prestations

• Préparation à audit ISO27001
• Audit des plans de continuité d’activité et plans de crise

Objectifs

• Évaluer la maîtrise et l’organisation de la sécurité d’un système d’information
• Évaluer la cohérence des politiques de sécurité par rapport à des besoins ou contraintes réglementaires spécifiques
• Évaluer le niveau de sécurité physique d’une installation et identifier les chemins d’attaque physiques associés
• Évaluer le positionnement et les relations de la SSI au sein d'une démarche d'architecture d'entreprise, d'urbanisation du SI et dans les projets métiers

Méthodologie

• Méthode d’audit respectant les exigences PASSI de l’ANSSI
• Respect de différentes normes et réglementations : ISO2700x, décrets relatifs à la LPM, PMI, etc.
• Focus sur la documentation mise en place sur le périmètre audité et son adéquation à la réalité technique
• Démarche d’urbanisation et d’intégration de la SSI

Exemples de prestations

• Audit de la gouvernance SSI
• Mise en place d’un Système de Management de la Sécurité de l'Information au sens ISO27001
• Audit physique d’une zone très haute sécurité – THS – d’une banque étrangère

Objectifs

• Évaluer les niveaux de sécurité et de conformité d’une application
• Identifier les vulnérabilités et les risques de sécurité liés à des mauvaises pratiques de programmation ou à des erreurs d’implémentation ou de logique
• Évaluer le niveau de robustesse des mécanismes de sécurité d’un système

Méthodologie

• Méthode d’audit respectant les exigences PASSI de l’ANSSI
• Différentes méthodologies utilisées selon les cas : OSSTMM, OWASP
• Analyses automatiques et manuelles
• Intervention sur tous types de langages de programmation (Java, .Net, PHP, Python, Perl, etc.)

Exemples de prestations

• Audit de code d’une applications web
• Audit de code d’un client lourd
• Audit de code d’automates industriels

Objectifs

• Identifier les vulnérabilités et risques de sécurité liés aux configurations d’un système
• Vérifier l'adéquation du paramétrage d'un système avec les règles de l'art en matière de sécurité
• Évaluer le niveau de durcissement des configurations d’un système

Méthodologie

• Méthode d’audit respectant les exigences PASSI de l’ANSSI
• Intervention sur tous types de solutions matérielles/logicielles d’un SI : équipements réseau (routeurs, commutateurs, bornes wifi, etc.), équipements de sécurité (firewall, proxy/reverse, IPS/IDS, antivirus, etc.), équipements industriels, objets connectés, applicatifs (systèmes d’exploitation, logiciels, drivers, plugins, etc.)
• Suivi de référentiels d’analyse et de durcissement issus de l’ANSSI, du SANS Institute et du NIST (SP800-53)

Exemples de prestations

• Qualification d’un ERP (client/serveur et BDD)
• Audit de configuration de tablettes connectées à des compteurs intelligents
• Audit de configuration de postes sensibles

Objectifs

• Évaluer le niveau de sécurité, de robustesse et de conformité d’une architecture
• Identifier les points vulnérables, défauts de conception et risques de sécurité d'une architecture
• Optimiser les coûts de déploiement, d’exploitation et de MCO

Méthodologie

• Méthode d’audit respectant les exigences PASSI de l’ANSSI
• Intervention sur l’ensemble des briques d’architecture d’un SI : au niveau réseau (peut être étendu aux interconnexions avec des réseaux tiers notamment Internet), système, applicatif, base de données, etc.
• Suivi de référentiels d’architecture sécurisée issus de l’ANSSI, du SANS Institute et du SABSA Institute

Exemples de prestations

• Audit d’une plate-forme de téléphonie
• Audit d’une plate-forme de virtualisation
• Audit d’une architecture applicative hébergée dans un cloud externe
• Audit d’une infrastructure bureautique sensible

Objectifs

• Évaluer les niveaux de sécurité, de robustesse et de conformité d’un système industriel et/ou des dispositifs de contrôle associés
• Identifier les vulnérabilités et les risques de sécurité liés aux configurations des services et fonctionnalités proposés par le système industriel
• Proposer des mesures de durcissement ou de cloisonnement

Méthodologie

• Méthode d’audit respectant les exigences PASSI de l’ANSSI
• Audit de l’ensemble des moyens humains et matériels ayant pour finalité de contrôler ou commander des installations techniques industrielles : test d’intrusion (Pentest), audit d’architecture, audit de la configuration des éléments composant l’architecture et audit organisationnel et physique
• Suivi de référentiels techniques issus de l’ANSSI, du NIST (800-82)
• Réalisation d’interviews avec le personnel concerné par la sécurité du système industriel

Exemples de prestations

• Audit de systèmes SCADA
• Audit d’automates programmables PLC
• Audit en laboratoire de systèmes industriels

Objectifs

• Évaluer la performance et le niveau de maturité des pratiques de sécurité
• Définir une stratégie de sécurité et mettre en place une gouvernance de la SSI
• Définir ou revoir des indicateurs de sécurité
• Appuyer ou sous-traiter la fonction de RSSI
• Aider à la rédaction de la documentation sécurité (politiques, procédures, chartes, etc.)
• Accompagner dans une démarche de conformité

Méthodologie

• Démarche d’urbanisation et d’intégration de la SSI
• Approche sur mesure, adaptée au contexte métier et aux différentes contraintes applicables
• Méthode de gestion des risques basée sur les référentiels EBIOS et ISO27005
• Accompagnement sur les principales normes et exigences réglementaires : ISO2700x, décrets relatifs à la LPM, etc.

Exemples de prestations

• Appui à RSSI
• Revue d'une politique de sécurité industrielle
• Élaboration d’une politique de sécurité d’État (PSSIE)

Objectifs

• Identifier les besoins de continuité et les activités clés
• Mettre en place des plans de continuité pour limiter les conséquences (financières, juridiques, image, etc.) d’un sinistre ou d'une crise
• Mettre en place un Système de Management de la Continuité d’Activité (SMCA)
• Tester et évaluer la performance des processus et dispositifs de continuité

Méthodologie

• Respect des standards ISO22301 et ISO27001
• Mise en place d’interviews
• Élaboration ou revue des Bilans d’Impacts sur les Activités (BIA)
• Élaboration ou revue des analyses de risques
• Élaboration ou revue des plans de continuité/reprise (PCA, PCI, PRA, etc.)
• Élaboration ou revue de procédures et fiches réflexes

Exemples de prestations

• Mise en place d’un Plan de Continuité d’Activité
• Mise en place d’un Plan de Continuité Informatique et rédaction de fiches réflexes associées
• Appui à l’élaboration de cellules de crise

Objectifs

• Définir une méthode de réponse aux incidents de sécurité adaptée à chaque contexte
• Intervenir en urgence en cas d’activité malveillante détectée
• Identifier le mode opératoire et l’objectif de l’attaquant,
• Qualifier l’ampleur de la compromission et évaluer les risques et les impacts associés,
• Préconiser et mettre en oeuvre des mesures de remédiation.

Méthodologie

• Méthode de réponse à incident respectant les exigences PRIS de l’ANSSI
• Respect des bonnes pratiques définies dans les normes ISO27035 et ISO27037
• Plusieurs analyses techniques possibles selon la nature de l’incident : analyse système/réseau/code
• Pilotage des activités techniques et de communication tout au long de la résolution de l’incident

Exemples de prestations

• Mise en œuvre d’une stratégie de réponse à incident
• Élaboration de fiches réflexes
• Intervention d’urgence pour endiguer la propagation d’un cryptolocker

Objectifs

• Rechercher les traces et preuves d'une intrusion ou d'un écart de sécurité
• Identifier les failles exploitées et proposer des actions correctives
• Évaluer l’ampleur et le niveau de compromission (total/partiel) d’un système suite à une attaque

Méthodologie

• Suivi de méthodes d’analyse forensique reconnues : SANS Institute, EDRM, ISO27037
• Possibilité de présenter en justice les preuves récoltées (à définir dans l’expression de besoin)
• Préservation, acquisition et/ou récupération de données, réduction, recherche, analyse et création d'un rapport
• Forensic sur équipements mobiles (smartphone, tablette, etc.)

Exemples de prestations

• Analyse de disques durs volés
• Recherche de traces de compromission sur des smartphones VIP (secteur sensible)

Objectifs

• Intégrer une dimension sécurité dans ses projets métier (Security by default)
• Appuyer les DSI dans les projets menés pour le compte de leurs clients
• Accompagner les MOA dans :
• L’expression de leurs besoins métiers (cahier des charges – sécurité),
• La mise en place de leur projet (planification, architecture, intégration, etc.),
• La capitalisation (procédures, guides, recettes, etc.),
• La sensibilisation et la formation de leurs utilisateurs.

Méthodologie

• Suivi de différents référentiels selon les cas et besoins : ISO2700x, ITIL, PMI, etc.
• Méthodologie systématiquement basée sur une analyse de risques
• Élaboration de plans d’actions

Exemples de prestations

• Aide à l’élaboration de tablettes sécurisées sur un périmètre métier d’importance vitale (SIIV)
• Accompagnement à la sécurisation d’une offre métier basée sur des objets connectés

Objectifs

• Identifier les besoins et exigences de sécurité sur un périmètre cible
• Choisir une solution proposant un niveau de sécurité adapté au besoin exprimé
• Intégrer et paramétrer une solution conformément aux bonnes pratiques de sécurité

Méthodologie

• Intégration de tous types de solutions matérielles/logicielles de sécurité :
• Sécurité périmétrique : Firewall, WAF, IPS/IDS, SBC, proxy/reverse, etc.
• Sécurité des données : chiffrement, sauvegarde, DLP, antivirus, etc.
• Sécurité applicative : SSO, scanner, etc.
• SIEM, SOC, Infrastructure de Gestion de Clés (IGC/PKI), IAM, etc.
• Suivi de référentiels et guides de durcissement (ANSSI, SANS Institute)

Exemples de prestations

• Intégration d’un SIEM
• Intégration d’une solution de gestion et de fédération des identités
• Appui à la mise en place d’une solution de gouvernance et de gestion des risques et incidents de sécurité

Objectifs

• Veille en vulnérabilités : détecter, qualifier et identifier des contre mesures
• Surveiller et détecter les signes avant-coureurs d'un incident ou d'une compromission
• Conseiller sur la mise en œuvre de solutions logicielles/matérielles de détection d’incidents, de malwares, de cryptolockers, d’APT, etc.

Méthodologie

• Utilisation d’outils de détection et de veille développés par Elysium Security
• Élaboration de rapports de veille et de tableaux de bord personnalisés
• Accès direct à nos experts et analystes (niveaux de service sur mesure)

Objectifs

• Évaluer la faisabilité d’un projet de recherche et de développement en sécurité informatique
• Contribuer au développement de solutions de sécurité logicielles ou matérielles innovantes

Méthodologie

• Connaissance de la plupart des langages de développement
• Mise à disposition de nos infrastructures de recherche et développement
• Accès direct à nos experts en recherche et développement

Objectifs

• S’assurer que l’équipement à homologuer :
• Ne présente pas de risques de sécurité en cas de raccordement sur le SI (vulnérabilités, malwares, etc.),
• Respecte les exigences de sécurité et de conformité définies,
• Offre des mécanismes de sécurité garantissant que les données traitées/stockées soient sécurisées conformément à leur niveau de sensibilité.

Méthodologie

• Type d’équipements pris en charge : équipements réseau / de sécurité, terminaux mobiles (tablette, smartphone, etc.), box, objets connectés, etc.
• Trois niveaux d'homologation définis : flash, standard, avancé
• Proposition de mesures compensatoires (si applicable) : mesures techniques et organisationnelles
• Méthode basée sur les évaluations mises en place par l’ANSSI et Critères Communs

Exemples de prestations

• Homologation d’un robot de téléprésence
• Homologation d’équipements de supervision de capteurs industriels
• Homologation d’une box de formation connectée

Objectifs

• Former des experts aux activités de sécurité défensives
• Former des experts sur des solutions de sécurité
• Préparer au passage de certifications (ISO2700X, Certifications Linux, CISSP, etc.)

Méthodologie

• Formations assurées par des experts en sécurité défensive tous reconnus dans leurs spécialités
• Catalogue des formations disponibles : durcissement de systèmes, sécurité réseau, architecture sécurisée, mise en place d’un SIEM, virtualisation et sécurité, cloud et sécurité, etc.
• Possibilité de mettre en place des formations sur mesure
• Possibilité de déployer des environnements techniques complets et dédiés servant de supports aux formations dispensées

Modalités

• Format : sessions de formation sur mesure
• Sessions de formation inter ou intra entreprises, dispensées par niveau

Objectifs

• Former des experts aux activités de sécurité offensives
• Préparer au passage de certifications de sécurité offensive (CEH, OSCP, etc.)
• Sensibiliser des équipes de développement aux bonnes pratiques de sécurité

Méthodologie

• Formations assurées par des experts certifiés dans leur domaine
• Catalogue des formations disponibles : hacking et sécurité (fondamentaux, avancé, expert), investigation numérique (Forensic), tests d’intrusion (Pentest), développement sécurisé, etc.
• Possibilité de mettre en place des formations personnalisées
• Possibilité de mettre en place des démonstrations d’attaque inspirées de cas réels

Modalités

• Format : sessions de formation sur mesure
• Sessions de formation inter ou intra entreprises, dispensées par niveau

Objectifs

• Informer et responsabiliser les utilisateurs quant aux formes que peut prendre le social engineering et leur fournir les moyens de ne pas se faire pièger

Méthodologie

• Sessions de sensibilisation dispensées par des experts en techniques d'intrusion et social engineering
• Possibilité de présenter des simulations d’attaque sur des environnements et infrastructures dédiés
• Possibilité de mettre en place des guides ou autres supports d’information rappelant les grands principes de sécurité à respecter en matière de social engineering

Modalités

• Format : sessions de sensibilisation sur mesure
• Sessions dispensées par niveau de sensibilisation à la sécurité

Objectifs

• Informer et responsabiliser les utilisateurs face aux risques auxquels ils sont quotidiennement exposés et leur fournir les moyens de respecter les bonnes pratiques de sécurité

Méthodologie

• Formations dispensées par des experts en sécurité défensive
• Possibilité de mettre en place des simulations sur des environnements et infrastructures dédiés permettant d'évaluer le niveau de sensibilisation en condition opérationnelle
• Possibilité de mettre en place des guides ou autres supports de sensibilisation à la sécurité informatique

Modalités

• Format : sessions de sensibilisation sur mesure
• Sessions dispensées par niveau de sensibilisation à la sécurité

Objectifs

• S’assurer que la solution logicielle à qualifier :
• Ne présente pas de risques de sécurité en cas d’utilisation (vulnérabilités, malwares, etc.),
• Respecte les exigences de sécurité et de conformité définies,
• Offre des mécanismes de sécurité garantissant que les données traitées/stockées soient sécurisées conformément à leur niveau de sensibilité.

Méthodologie

• Type de logiciels pris en charge : application, utilitaire, pilote/driver
• Type d’environnement d’exécution : Windows, Linux, environnements mobiles
• Trois niveaux de qualification définis : flash, standard, avancé
• Proposition de mesures compensatoires (si applicable) : mesures techniques et organisationnelles
• Méthode basée sur les évaluations mises en place par l’ANSSI et Critères Communs

Exemples de prestations

• Qualification d’une application client/serveur de CRM
• Qualification d’une solution de chiffrement de fichiers
• Qualification d’applications industrielles sensibles