Une directive, vingt-sept lois nationales, et ce qu’elles exigent de vous.
Cinq niveaux, des fondamentaux en ordre à la défense de tout un groupe.
Chaque mesure exigée, et le service qui la livre.
La détection et la réponse, depuis notre SOC européen.
Postes de travail, cloud et assistance, exploités comme un seul service.
NIS 2, DORA et le RGPD en une seule évaluation.
Les plateformes de nos éditeurs, déployées puis exploitées.
Un RSSI nommément désigné, deux jours par mois.
De l’aide tout de suite, et votre notification transmise dans les délais.
À l’issue de l’entretien, vous disposez d’une liste priorisée de vos écarts et d’une indication de prix pour les combler. Sans frais et sans engagement.
Planifier l’entretienQui nous sommes et comment nous sommes organisés.
Amsterdam, Sofia, Varna et Stara Zagora.
Les plateformes que nous déployons et exploitons.
À quoi ressemble le travail en pratique.
La relation client à Amsterdam, l’ingénierie en Bulgarie, et rien qui sorte de l’Union européenne. Un seul contrat, de droit néerlandais.
Notre organisationSécurité managée et SOC
Notre SOC surveille les postes de travail, les comptes, les environnements de messagerie, les réseaux et les services cloud qui y sont raccordés. Les alertes issues de ces sources sont regroupées dans un SIEM et évaluées par nos analystes. Lorsqu’une action est nécessaire, nous appliquons des procédures convenues et testées à l’avance. La surveillance est assurée toute l’année depuis l’Union européenne.
Comment cela fonctionne
Les capteurs de sécurité remontent des alertes depuis les postes de travail, les plateformes d’identité, les réseaux, la messagerie et les environnements cloud.
Le SIEM regroupe ces événements en une chronologie unique par utilisateur et par machine. Une connexion échouée à minuit et un processus inhabituel sur un portable une heure plus tard se lisent alors comme un seul événement.
La technique détermine quelles alertes demandent attention. Un analyste évalue ensuite ce qui se passe réellement, quels systèmes ou quels comptes sont concernés et quelles en sont les conséquences possibles.
Nos analystes SOC travaillent depuis Sofia, Varna et Stara Zagora. Ces sites se trouvent dans l’Union européenne et ont une heure de décalage avec Amsterdam.
Le SLA
Le délai de prise en charge est fixé dans le contrat et mesuré sur la base des enregistrements du SIEM. Vous recevez un rapport qui indique si le délai convenu a été tenu.
Dès que les règles de corrélation du SIEM classent l’alerte en priorité la plus élevée. Cela n’attend ni que vous remarquiez quelque chose, ni que vous nous appeliez.
Dès qu’un analyste désigné a pris l’alerte, vérifié qu’elle demande effectivement attention et commencé son évaluation. La mesure porte sur la prise en charge et le début de l’évaluation, pas sur l’endiguement : la durée d’un endiguement dépend de votre parc informatique et du mandat que vous nous avez donné.
Aux niveaux de priorité fixés dans votre description de service. Les alertes de priorité inférieure sont traitées dans la file normale et figurent au rapport, plutôt que d’être escaladées à trois heures du matin.
Chaque alerte porte l’horodatage de sa levée, de sa prise en charge, des actions menées et de sa clôture. Le rapport de SLA est constitué directement à partir de ces enregistrements. Un dépassement y reste donc visible.
Couverture
Chaque niveau SmartCyber ajoute de la surveillance et des sources de données à la configuration existante. Au passage à un niveau supérieur, les sources déjà raccordées n’ont pas à être reconfigurées.
| Source de signal | Ce qui y est surveillé | Inclus à partir de |
|---|---|---|
| Postes de travail, portables, postes fixes et serveurs | Comportements de rançongiciel, code malveillant, usage abusif d’identifiants, mécanismes de persistance indésirables et usage atypique des outils d’administration | Protect, en option complémentaire au niveau Essential |
| Identités, annuaire et connexions | Connexions atypiques, déplacements géographiquement impossibles, demandes MFA répétées, nouveaux rôles d’administration et comptes dormants réutilisés | Protect |
| Messagerie | Phishing, usurpation de dirigeants ou de fournisseurs, pièces jointes et liens malveillants et règles de transfert indésirables | Protect |
| Réseau, pare-feu, VPN et trafic sortant | Trafic de commande et de contrôle, balayages internes, trafic vers des destinations inhabituelles et sessions VPN atypiques | Protect |
| Charges de travail et environnements cloud | Changements de configuration et de droits, nouvelles clés ou identités de service et ressources créées dans des régions inattendues | Advanced |
| Services SaaS professionnels | Changements de rôles, partages de données, téléchargements inhabituels et connexions d’applications suspectes | Advanced |
La corrélation SIEM sur les six sources, la couverture 24 h/24, 7 j/7 et le délai de prise en charge de 15 minutes commencent au niveau SmartCyber Advanced. Au niveau Protect, les sources sont surveillées séparément et traitées en heures ouvrées. Les sources disponibles dépendent de votre environnement technique, de vos licences et des raccordements que la plateforme concernée prend en charge.
Quand une alerte se déclenche
Notre SOC surveille votre environnement en continu et intervient immédiatement en cas d’incident. Pour chaque organisation, nous convenons à l’avance des mesures que nous pouvons prendre de notre propre initiative et des cas où nous vous consultons d’abord. Ces accords sont consignés par écrit, afin qu’aucun temps ne soit perdu en dehors des heures ouvrées.
Les systèmes de sécurité raccordés signalent les comportements qui s’écartent des règles établies ou de l’usage normal dans votre organisation. Cette distinction compte : un script qui tourne à deux heures du matin est banal en logistique et justifie un appel dans un cabinet d’expertise comptable.
Un analyste vérifie l’utilisateur concerné, la machine, la localisation, les événements antérieurs et les conséquences possibles. La plupart des alertes s’arrêtent là, avec un enregistrement écrit et sans que vous soyez dérangé.
Dans les limites du mandat convenu, le SOC peut isoler une machine, bloquer un compte, mettre fin à une session ou bloquer une destination. Tout ce qui dépasse ce mandat passe par un appel à votre contact désigné, quelle que soit l’heure.
Nous enregistrons ce qui a été observé, à quel moment l’alerte est apparue, qui l’a traitée et quelles actions ont été menées. Si vous êtes assujetti à NIS 2, ce même dossier alimente l’alerte précoce dans les 24 heures et la notification d’incident dans les 72 heures. Nous les rédigeons ; vous les relisez et vous les transmettez, car l’obligation de notification reste la vôtre.
Après l’incident, nous vérifions le rétablissement, nous recherchons la cause et nous ajustons si nécessaire les règles de détection ou les paramètres de sécurité. Les incidents clos sont revus dans le rapport trimestriel, pas rangés.
Qui peut autoriser un endiguement en dehors des heures ouvrées est la question à trancher avant d’avoir besoin de la réponse. Nous la posons lors de la mise en service, et la réponse figure au contrat.
Ce que cela ne fait pas
La surveillance permet de reconnaître les incidents plus tôt et d’agir plus vite. Un SOC n’empêche pas tous les incidents. Une intrusion détectée pendant la reconnaissance coûte un week-end de travail. La même intrusion découverte après le chiffrement coûte un trimestre.
Nous combinons donc la surveillance avec des mesures préventives : la gestion des correctifs, l’authentification multifacteur (MFA), des droits d’accès restreints, des configurations durcies, le filtrage du courrier et une sauvegarde à partir de laquelle quelqu’un a effectivement restauré des données. Elles figurent dans les niveaux SmartCyber sous le SOC.
Le SOC ne peut surveiller que les sources auxquelles l’accès a été ouvert. L’inventaire des actifs, un état à jour de ce que vous avez en gestion, est donc le premier livrable. Et le SOC ne peut agir de sa propre initiative que dans les limites du mandat convenu. Les sources de données manquantes et les restrictions de ce mandat sont consignées à l’avance.
Faire ou acheter
La forme adaptée dépend de votre taille, de l’expertise dont vous disposez déjà et de vos exigences de disponibilité et de reporting.
Pour certaines organisations, c’est encore la bonne réponse. Presque toutes sont plus grandes que celles avec lesquelles nous travaillons.
La limite honnête : le premier jour, nous connaissons votre parc informatique moins bien que vos propres équipes. Le premier mois sert à combler cet écart.
Preuves
Pour les alertes pertinentes, nous consignons les horodatages, l’évaluation et les actions menées. En cas d’incident grave, il en résulte un dossier utilisable pour la notification légale et pour le rapport final.
Chaque alerte levée, sa gravité, qui l’a prise, à quelle heure, ce qui a été fait et quand elle a été close. Conservé selon la durée fixée à votre contrat.
La gestion des incidents, et l’évaluation de l’efficacité de vos mesures. Les deux doivent être démontrées, et un journal d’exploitation y répond là où un document de politique n’y répond pas.
Le nombre d’alertes et leur composition, les délais de prise en charge au regard du SLA, les causes récurrentes et les points d’amélioration ouverts. Écrit pour être lu par une direction.
Les questions posées au renouvellement sont devenues précises. Y a-t-il une couverture hors heures ouvrées, quel est le délai de prise en charge convenu, comment les comptes à privilèges sont-ils surveillés. Le rapport répond avec des données plutôt qu’avec des intentions.
Quelles détections ont été désactivées, lesquelles ont été ajoutées, et pourquoi. Si le service passe un jour à un autre prestataire, cet historique part avec vous.
La durée de conservation, les destinataires et la fréquence du reporting sont fixés dans la description de service.
Le démarrage du service
Raccorder les capteurs prend quelques jours. Apprendre ce qui est normal dans votre organisation prend plus longtemps.
Nous définissons le périmètre, nous vérifions les accès et nous recensons les systèmes, les sources de journaux, les interlocuteurs et les voies d’escalade. Les surprises se cachent dans ce recensement : le serveur que personne ne revendique, l’environnement resté d’un projet, le compte d’administration que trois personnes partagent.
Nous raccordons les sources convenues et nous construisons une première image de l’usage normal. Pendant cette période, le SOC peut d’abord se limiter à observer, pour éviter les blocages indésirables.
Nous arrêtons les scénarios d’intervention, nous fixons le mandat par écrit et nous testons la joignabilité et les actions techniques avec une alerte contrôlée en dehors des heures ouvrées, pour que la première vraie alerte ne soit pas aussi le premier exercice.
La surveillance courante commence et le volume d’alertes est alors à son maximum, parce que tout ce qui est inhabituel mais normal chez vous ne l’est qu’une seule fois pour nous. Les règles de détection et les seuils sont ensuite ajustés sur la base de la pratique.
Les frais de raccordement et de mise en service figurent séparément dans la proposition. Les parcs répartis sur plusieurs pays ou plusieurs environnements prennent plus de temps, et nous les chiffrons pays par pays plutôt qu’en un montant unique.
Questions fréquentes
Dans nos centres de services en Bulgarie : Sofia, Varna et Stara Zagora. La relation client et les services de RSSI sont à Amsterdam.
La Bulgarie est un État membre de l’Union européenne : le même régime RGPD s’applique et le travail se fait sous les mêmes systèmes de management. Le pays a une heure d’avance sur les Pays-Bas, ce qui fait de votre journée de travail et de la nôtre la même journée. Du nearshore, dans l’Union européenne et sous le même RGPD, plutôt que de l’offshore.
Think Smart Europe est récente. L’organisation technique derrière elle ne l’est pas.
Notre maison mère en Bulgarie est immatriculée depuis décembre 2019, emploie les analystes et les ingénieurs qui assurent la surveillance, et détient les systèmes de management ISO 9001, ISO/IEC 20000-1, ISO 27001 et ISO 27701 sous lesquels ce service est délivré.
Oui. Le SOC peut être mis en place comme une couche distincte de surveillance et de réponse au-dessus du service existant. Nous lisons la télémétrie, ils exploitent le parc, et le partage des tâches est écrit avant que nous commencions. Il faut toutefois qu’il soit clair qui exécute quelle action pendant un incident.
Cela se complique sur l’endiguement. Si nous isolons une machine à deux heures du matin, quelqu’un doit pouvoir la remettre en service ; et si c’est une partie avec laquelle nous n’avons aucune relation de travail, l’incident dure aussi longtemps que son processus de support. C’est une conversation à trois, et nous la demanderons.
Un dépassement reste visible dans le rapport de SLA. Chaque alerte prioritaire porte l’horodatage de sa levée et de sa prise en charge, et le rapport est généré à partir de ces enregistrements.
Les pénalités contractuelles éventuelles, et leurs plafonds, sont fixées à l’avance dans le contrat.
Sur les postes de travail et les serveurs, un agent est généralement nécessaire. La détection comportementale doit voir le processus ; la télémétrie réseau seule ne montre pas des identifiants extraits de la mémoire. Les plateformes d’identité, la messagerie, les environnements cloud et les services SaaS sont raccordés par des connecteurs.
Lorsqu’un système ne prend en charge ni agent ni connecteur, comme la technologie opérationnelle, les équipements anciens ou un système sous contrat de support éditeur, nous cherchons quelle source environnante peut être utilisée et nous consignons la limite. Pas de case verte pour ce que nous ne voyons pas.
C’est possible, et le budget en fait parfois la seule option. La surveillance fonctionne toutefois mieux lorsque des mesures préventives comme le MFA, la gestion des correctifs et des sauvegardes testées sont en place.
Surveiller un parc sans ces mesures produit le récit détaillé d’un incident que vous auriez pu éviter. Nous intégrons donc les mesures de base manquantes dans l’évaluation, et le constat sera le même chaque trimestre tant qu’elles ne seront pas en place.
En cas d’incident en cours
L’endiguement passe d’abord et le reste de cette page peut attendre. Si vous êtes assujetti à NIS 2, le délai court depuis le moment où vous en avez eu connaissance, et aucune analyse ne le suspend.
Nous recensons les sources de sécurité existantes, les délais de prise en charge souhaités et le mandat pour la réponse aux incidents. Vous recevez ensuite une proposition pour le raccordement, la surveillance et le reporting.
