Protéger les données. Vérifier les fichiers. Rendre les logiciels robustes.

Nous déterminons d'abord quelles informations, applications et processus métier doivent être protégés. Nous en déduisons un enchaînement d'étapes clair : par exemple clarifier l'accès et la restauration, chiffrer les appareils mobiles et sécuriser le téléversement public de fichiers. Un pentest est prévu là où ses résultats permettent des décisions concrètes. Vous obtenez un point de départ délimité, avec des responsabilités et des résultats de travail documentés.

Les deux protègent des situations différentes. Le chiffrement de disque protège les données stockées sur un support éteint, ou correctement verrouillé, dans le cadre de la solution concernée. Le chiffrement de fichiers peut faire respecter des autorisations à travers différents emplacements de stockage et voies de transmission. La pertinence de combiner les deux dépend de l'usage des appareils, de la collaboration, des flux de données et du besoin de protection. Un utilisateur déjà connecté et autorisé reste un cas de sécurité à part.

Nous adaptons le périmètre au contexte d'utilisation : d'un réseau d'entreprise de taille modeste jusqu'à un projet comportant des informations classifiées. Pour VS-NfD ou NATO RESTRICTED, les produits, les versions et les conditions d'emploi concrets ainsi que le concept d'exploitation sont examinés. Si une mission nécessite du personnel ayant fait l'objet d'une habilitation de sécurité, les preuves et accès requis sont clarifiés au préalable, projet par projet. Ü3 désigne une habilitation de sécurité des personnes, et non un niveau de chiffrement.

Avant le début, nous convenons d'un montant fixe et d'un constat de sécurité concret, à démontrer de façon reproductible, dans un périmètre de test autorisé. Si cette preuve n'est pas apportée, la rémunération au résultat convenue pour le pentest n'est pas due. Le critère de résultat, les conditions préalables et la recette sont fixés par écrit. La correction, le conseil supplémentaire ou les retests ne sont facturés qu'en cas de mandat séparé. Un test sans constat correspondant ne constitue pas une garantie de sécurité totale.

Ce point est clarifié avant la décision d'architecture. Selon la version, MetaDefender peut aussi être exploité dans votre propre environnement. Le transfert de données, l'analyse externe, la télémétrie et les canaux de mise à jour doivent correspondre à la classe de données concernée. Un scanner sur site à lui seul ne suffit pas à rendre admissible un passage entre réseaux classifiés. Nous tenons donc compte du processus de validation complet et des instances responsables.

Un constat exploitable décrit les conditions préalables, les fonctions concernées, les étapes de reproduction, les impacts techniques et une mise en perspective dans le processus métier. Nous discutons avec votre équipe de l'endroit où la cause devrait être corrigée. Si cela a été convenu, un retest vérifie la correction concrète. Pour les applications d'IA, nous tenons compte en outre de la variabilité du modèle, des sources de données et des autorisations des outils connectés.