Maîtrisez votre exposition aux risques. Planifiez et testez votre réponse avant qu’une crise ne survienne.
Nous évaluons, mettons à l’épreuve et renforçons votre posture de sécurité, et nous préparons vos équipes et vos dirigeants à réagir aux attaques les plus susceptibles de viser votre organisation.
Au-delà des outils et des processus, nous misons avant tout sur l’humain.
Évaluation des cyberrisques
Nous cernons les menaces, les vulnérabilités et les impacts d’affaires qui comptent pour votre organisation, puis nous les traduisons en recommandations concrètes et priorisées.
Livrables : registre des risques, carte de chaleur, plan de traitement priorisé
Évaluation de la maturité en cybersécurité
Un examen de vos politiques, pratiques et technologies selon le référentiel qui vous convient : un cadre reconnu (NIST CSF 2.0, ISO/IEC 27001:2022, CIS Controls v8), votre propre cadre interne, ou un cadre sur mesure que nous bâtissons à partir de ces normes. Vous savez où vous en êtes et quoi corriger en priorité.
Livrables : niveaux de maturité par domaine, analyse des écarts, feuille de route sur 12 à 24 mois
Programme de sensibilisation à la sécurité
Conception ou refonte de votre programme : portrait de la situation actuelle, politique, choix du fournisseur, simulations d’hameçonnage, tableaux de bord et amélioration continue.
Livrables : cadre du programme, plan annuel, indicateurs d’efficacité
Cybertivité en action : ateliers de sensibilisation
Des séances interactives de sensibilisation à la sécurité fondées sur des scénarios réels tirés de votre secteur, de vos équipes et de vos risques. Plutôt que de regarder des diapositives, les participants s’exercent par la gamification à repérer les menaces et à y réagir.
Livrables : séance en personne, aide-mémoire visuels, actions de suivi
Simulations d’ingénierie sociale
Des scénarios sur mesure d’hameçonnage vocal (vishing), de harponnage (spear phishing) et d’hypertrucage (deepfake) par l’IA, ainsi que des tests d’intrusion physique, comme tenter d’entrer dans vos bureaux ou vos salles à accès restreint, qui montrent comment votre personnel réagit à des attaques ciblées et réalistes. Menés sur autorisation écrite, selon des règles d’engagement convenues, avec le consentement des dirigeants pour toute usurpation de voix ou d’image.
Livrables : plan de campagne, résultats par équipe et par type d’attaque, accompagnement ciblé
Exercices de réponse aux incidents
Exercices de table de simulation de cyberincident, au niveau technique, tactique ou exécutif, ainsi que des exercices fonctionnels et à grande échelle qui mettent à l’épreuve votre plan de réponse aux incidents, la coordination de vos équipes et la prise de décision de vos dirigeants.
Livrables : conception de l’exercice, animation, rapport post-exercice
Des scénarios d’exercices de table assistés par l’IA, conçus à partir de votre exposition réelle
La plupart des exercices de table reposent sur des scénarios génériques. Les nôtres sont générés à partir des applications, des vulnérabilités et des procédures de réponse propres à votre organisation : chaque inject reflète un risque que vous portez réellement.
Comment nos scénarios sont produits
- 01CollecterApplications, vulnérabilités connues, renseignement sur les menaces et procédures de réponse aux incidents.
- 02CorrélerAssocier les applications aux vulnérabilités, aux acteurs de menace, aux TTP et aux processus de réponse qu’ils déclenchent.
- 03GénérerDes scénarios d’attaque en plusieurs phases, avec injects, points de décision et actions de réponse attendues.
- 04ValiderChaque inject est rattaché à une vulnérabilité et à une procédure réelles. Le contenu générique est éliminé.
- 05LivrerUne trousse prête à l’animation pour l’équipe d’exercice et les participants.
- 06Rapport post-exerciceCe qui a fonctionné, ce qui a échoué et la façon dont les équipes et les dirigeants ont pris leurs décisions pendant l’exercice.
- 07Plan d’actionDes recommandations priorisées, avec responsables et échéances, pour combler les lacunes révélées par l’exercice.
Ce que contient votre trousse d’animation
Pourquoi c’est important
La rédaction de scénarios est habituellement manuelle et lente : elle mobilise plusieurs ressources et exige la validation de plusieurs équipes (vulnérabilités, tests d’intrusion, secteurs d’affaires, conformité, etc.). Les exercices sont donc rares et restent génériques. Cette approche en fait une capacité évolutive, reproductible et fondée sur les données. Vous pouvez tenir des exercices plus souvent, sur les menaces qui vous concernent vraiment, et démontrer aux régulateurs et aux conseils d’administration comment chacun se rattache à votre risque réel.
Comment vos données sont protégées
Deux façons de travailler avec nous
Nous générons, validons et animons l’exercice pour vous, de la conception du scénario au rapport post-exercice.
Nous concevons, développons et mettons en place un agent d’IA relié à votre infrastructure, à votre inventaire applicatif et à vos données de vulnérabilités. Votre équipe peut ensuite générer de nouveaux scénarios validés aussi souvent que nécessaire, chacun reflétant votre exposition actuelle.
Choisissez le niveau de pression
Nous recommandons une progression : commencer par la discussion, puis aller vers la simulation en conditions réelles à mesure que votre programme gagne en maturité.
Exercices intégrés : un exercice, plusieurs exigences
Vous devez tenir des exercices de continuité des activités, de gestion de crise, de reprise après sinistre et de cybersécurité? Plutôt que d’en organiser trois ou quatre séparément, nous pouvons les combiner en un seul exercice multidimensionnel. Nous partons des exigences réglementaires et internes de chacun, puis nous bâtissons un scénario qui met à l’épreuve plusieurs équipes en même temps : TI, sécurité, opérations, communications et haute direction.
- Toutes les exigences couvertes, avec traçabilité pour l’audit et les régulateurs
- Moins de temps mobilisé pour vos équipes et vos dirigeants
- Un scénario réaliste, où une cyberattaque déclenche aussi une crise et une reprise
- Un seul rapport post-exercice et un plan d’action consolidé
Conforme au NIST CSF 2.0, à la norme ISO/IEC 27001:2022 et aux CIS Controls v8.
Des programmes qui résistent à l’examen des organismes de réglementation
Évaluations de l’état de préparation, plans d’action et exercices pour les institutions financières réglementées, conçus pour répondre aux attentes des régulateurs, et pas seulement aux exigences internes.
Évaluations de l’état de préparation et plans d’action alignés sur les lignes directrices du BSIF :
Évaluations de l’état de préparation et plans d’action alignés sur les lignes directrices de l’AMF en matière de risques liés aux technologies de l’information et des communications, de continuité des activités et de risque lié aux tiers, pour les institutions financières québécoises.
Exercices de table pour les bureaux et filiales à l’étranger de la division Marchés des capitaux d’une banque canadienne, chacun soumis à son propre cadre réglementaire local.
Lors des exercices de table de cybersécurité pour nos bureaux locaux et internationaux des Marchés des capitaux, Serge a constamment fait preuve d’une solide maîtrise du sujet et d’une approche proactive. Son expertise et son souci du détail ont rendu nos exercices plus mobilisateurs, plus réalistes et plus percutants.
Vous ne savez pas par où commencer? Nous vous aidons à cerner vos besoins.
Dites-nous ce qui vous préoccupe le plus, et nous vous suggérerons par où commencer : une évaluation, un exercice ou un programme de sensibilisation.
Prochaines étapes
- Nous répondons en un jour ouvrable.
- Un appel de cadrage de 30 minutes. Nous pouvons signer votre entente de confidentialité au préalable.
- Une proposition écrite précisant les livrables, l’échéancier et les honoraires.