Industrialiser le suivi cyber récurrent d'une PME

Le contexte

Un RSSI externalisé vend un accompagnement dans la durée. Démarrer est simple, tenir l’est moins : la veille de janvier est faite avec soin, celle de juillet dépend de la charge du mois.

Or c’est exactement l’inverse de ce que le client achète. Il paie la régularité.

Le problème

Trois tâches reviennent tous les mois, chacune indispensable et chacune chronophage.

La veille sur les vulnérabilités. Le flux mondial est ingérable à la main, et la majorité de ce qui est publié ne concerne pas un parc donné. Tout le travail consiste à trier.

La surveillance de l’exposition externe. Ce qu’une entreprise expose sur Internet change sans que personne ne le décide : un certificat expire, un service se retrouve ouvert, un domaine approchant du renouvellement devient une opportunité pour un tiers.

Le rapport mensuel. C’est le livrable qui matérialise la prestation. Rédigé à la main, il prend des heures et il est le premier sacrifié.

Les contraintes

• Coût d’exploitation quasi nul. La prestation s’adresse à des PME, donc à des budgets serrés. Une chaîne qui coûte cher en abonnements se répercute sur le prix.
• Sources gratuites et officielles. Pas de dépendance à un fournisseur de renseignement payant.
• Le tri reste humain. Décider de ce qui est grave pour une entreprise donnée demande de connaître son métier et son parc.
• Un rapport lisible par un dirigeant, pas par un ingénieur.

Mon intervention

Conception et développement de l’ensemble, et usage quotidien en conditions réelles sur ma propre activité.

L’architecture

La chaîne repose sur un principe simple : le système prépare, je décide.

La veille s’appuie en priorité sur le catalogue officiel des vulnérabilités activement exploitées, publié par l’agence américaine de cybersécurité. Ce choix est délibéré : plutôt que de suivre l’ensemble des vulnérabilités publiées, dont l’immense majorité ne sera jamais exploitée, je suis celles dont l’exploitation est constatée. Le volume devient traitable et la pertinence augmente. Le flux est ensuite éditorialisé, mis en cache pour la journée et régénéré chaque matin.

La surveillance de l’exposition et le suivi des échéances tournent en tâches planifiées, et ne produisent une alerte que lorsqu’il y a matière.

Le rapport mensuel est généré au format bureautique standard, directement ouvrable et modifiable par le client.

Le volet conformité est structuré comme un cycle de vie en sept étapes, de la définition du périmètre à la restitution, et gère aussi bien les missions ponctuelles que les missions récurrentes. Un audit ISO, NIS2 ou RGPD se déroule comme un processus avec des états, dont il faut pouvoir dire à tout moment où il en est.

Les choix techniques

Le format bureautique standard pour les rapports, plutôt qu’un PDF verrouillé ou un portail propriétaire. Le client doit pouvoir reprendre le document, le transmettre à son assureur ou à son commissaire aux comptes, et le conserver sans dépendre de moi. C’est une position commerciale autant que technique : je ne retiens pas mes clients par la captivité de leurs livrables.

Le silence comme comportement par défaut. Les tâches planifiées qui n’ont rien à signaler ne notifient rien. J’ai réglé mes propres alertes ainsi pour une raison simple : une notification quotidienne qui répète que tout va bien finit par ne plus être lue, et c’est le jour où elle contient autre chose que cela devient un problème.

Des sources gratuites et officielles exclusivement, ce qui rend la chaîne reproductible et son coût marginal négligeable.

La sécurité

L’outillage lit et prépare, mais ne modifie rien chez le client. Il n’a pas d’accès en écriture aux systèmes qu’il surveille, ce qui est une décision d’architecture : un outil de surveillance compromis ne doit pas devenir un vecteur d’attaque sur les parcs qu’il observe.

Les rapports produits ne contiennent que ce qui a été validé, et la restitution reste un exercice humain.

Le résultat

La chaîne tourne au quotidien. La veille alimente aussi la page publique d’actualités de ce site, ce qui en constitue une preuve consultable : ce qui y est publié sort de ce mécanisme.

Le temps que je consacre au suivi mensuel a changé de nature : il va désormais à l’analyse et à la restitution plutôt qu’à la collecte.

Ce que ce projet démontre

Une capacité à transformer une prestation intellectuelle en processus reproductible, sans la vider de sa substance. La partie automatisée est celle qui n’a jamais eu besoin d’un humain : collecter, filtrer, mettre en forme. La partie qui reste humaine est celle qui justifie qu’on paie un consultant : décider de ce qui est grave, ici, pour cette entreprise, et l’expliquer à une direction.

C’est aussi la démonstration que je conçois pour tenir dans la durée : tant que ce suivi reposait sur ma seule discipline, sa qualité baissait les mois chargés ; outillé, il tient le même niveau tous les mois.