Expertises

Tout ce qu'un attaquant tenterait. Tout ce qu'un dirigeant doit décider.

Audits offensifs sur toute votre surface, réponse aux incidents, IA privée et infrastructures dédiées, optimisation du SI et des budgets, pilotage de la sécurité et conformité : une seule équipe d'experts seniors, du terrain jusqu'au comité de direction.

Expertises

Attaquer, réagir,bâtir, optimiser, gouverner.

Nous éprouvons vos défenses comme un adversaire, nous intervenons quand l'incident survient, nous construisons et opérons vos défenses, nous optimisons votre SI et vos budgets, et nous pilotons votre sécurité dans la durée. Notre force : des recommandations de gouvernance nourries par ce que nous avons réellement compromis.

Attaquer

Tous les audits offensifs, menés par une équipe classée dans le top 30 mondial et numéro un mondial en speedhacking. Nous démontrons ce qu'un attaquant obtiendrait, preuves à l'appui.

  • Authentification, contrôle d'accès, logique métier, fédération d'identité (OIDC, SAML, Keycloak) : nous enchaînons les failles jusqu'à l'impact réel, comme le ferait un attaquant.

    • Boîte noire, grise, blanche
    • OWASP WSTG & API Top 10
    • Preuves reproductibles
    • Re-test inclus

  • Nos experts seniors sont spécialisés dans les applications mobiles sensibles : banque, paiement, identité, données réglementées. Analyse statique et dynamique, interception du trafic, contournement des protections (détection de root et de jailbreak, épinglage de certificat, obfuscation), stockage local, chiffrement et échanges avec le back-end.

    • OWASP MASVS & MASTG
    • Applications sensibles
    • iOS et Android
    • API back-end incluses

  • De votre surface exposée sur Internet jusqu'au cœur du réseau : services vulnérables, mouvements latéraux, escalade de privilèges, accès aux données sensibles.

    • Surface d'attaque externe
    • Pentest interne
    • Segmentation réseau

  • Chemins d'attaque vers vos comptes à privilèges, délégations dangereuses, PKI, Microsoft 365, Azure et OCI : nous cartographions ce qui mène à la prise de contrôle.

    • AD & ADCS
    • Entra ID & Microsoft 365
    • Azure, OCI
    • Plan de durcissement

  • Une opération discrète de bout en bout, de l'accès initial à l'objectif métier, pour tester votre détection et votre réponse autant que vos protections.

    • Scénarios MITRE ATT&CK
    • Hameçonnage ciblé
    • Purple Team avec votre SOC

  • Un rançongiciel chiffre vos serveurs demain matin : qui décide, qui appelle qui, combien de temps pour détecter ? Nous jouons le scénario avec votre direction lors d'un exercice de crise sur table, puis nous le rejouons techniquement contre vos défenses pour mesurer ce que votre SOC voit vraiment.

    • Exercice de crise sur table
    • Scénarios rançongiciel et fuite de données
    • Test de détection du SOC
    • Plan d'amélioration

  • Chatbots, assistants et agents : injection de prompt, contournement des garde-fous, fuite de données, conformité RGPD. Un terrain où peu de cabinets savent déjà attaquer.

    • OWASP LLM Top 10
    • Injection & jailbreak
    • Fuite de données

  • Revue manuelle outillée pour trouver ce que les scanners ne voient pas : logique métier, secrets exposés, désérialisation, contrôles d'accès.

    • Revue manuelle
    • Analyse statique
    • Restitution aux développeurs

  • Postes électriques, automates, supervision : des évaluations conçues pour ne jamais perturber la production, conduites avec des experts du domaine.

    • IEC 62443
    • IEC 61850
    • Passerelles IT / OT

Optimiser

Un SI plus simple, plus robuste et moins coûteux, piloté par des experts techniques seniors qui connaissent le terrain.

  • Audit de l'existant, rationalisation des applications et des infrastructures, suppression des doublons et des dettes techniques, puis un plan de transformation réaliste et priorisé.

    • Audit de l'existant
    • Rationalisation
    • Plan de transformation

  • Revue des contrats, des licences et des abonnements cloud, maîtrise des coûts d'infrastructure, contestation des facturations injustifiées et renégociation avec les éditeurs.

    • Licences & abonnements
    • Coûts cloud
    • Négociation fournisseurs

  • Le pilotage de votre direction des systèmes d'information, le temps d'une transition ou dans la durée : gouvernance des projets, arbitrages, relation avec les prestataires et reporting à la direction générale.

    • Pilotage de la DSI
    • Gouvernance des projets
    • Temps partagé

  • Des experts seniors en renfort sur vos projets critiques et vos situations bloquées : Microsoft 365, Azure, virtualisation, réseaux, diagnostic de pannes complexes et retour en production.

    • Microsoft 365 & Azure
    • Virtualisation
    • Diagnostic de crise

Réagir

Quand l'incident est là, nous intervenons vite pour comprendre, contenir et reconstruire.

  • Serveur compromis, compte pris en main, site défiguré : confinement, éradication, restauration et conditions de remise en service, avec une communication claire vers votre direction.

    • Intervention d'urgence
    • Remise en service sécurisée
    • Retour d'expérience

  • Notre pôle forensic reconstitue l'attaque : analyse des postes, des serveurs et de la mémoire, des journaux Microsoft 365, Entra ID et Purview, des en-têtes de messagerie et des environnements cloud. Qui a fait quoi, quand, et par où, avec des preuves collectées et conservées pour l'assurance, le dépôt de plainte ou la notification aux autorités.

    • Postes, serveurs & mémoire
    • Forensic Microsoft 365 & cloud
    • Chronologie d'attaque
    • Préservation des preuves

Bâtir

La défense concrète de votre SI : SOC, protection des postes, identités et cloud, IA cloisonnée. Nous concevons, déployons et opérons.

  • Nous déployons vos assistants et modèles d'IA générative dans un environnement isolé et dédié à votre organisation. Vos données restent dans votre périmètre et ne servent jamais à entraîner un modèle public. Contrôle des accès, journalisation et règles d'usage sont intégrés dès le départ.

    • Environnement dédié
    • Données cloisonnées
    • Gouvernance intégrée

  • Nous fournissons des tenants cloud, des serveurs de calcul pour l'IA et des infrastructures virtualisées, livrés durcis et supervisés, sous forme d'abonnement clé en main.

    • Fourniture clé en main
    • Livré durci
    • Abonnement annuel

  • Segmentation, accès d'administration protégés par VPN ou tunnel chiffré, gestion des identités et des secrets, sauvegardes : une infrastructure pensée pour résister à ce que nous savons attaquer.

    • Sécurité dès la conception
    • Accès d'administration
    • Revue d'architecture

  • Nous montons votre centre de supervision de sécurité ou faisons monter en maturité celui qui existe : sources de journaux, règles de détection, procédures de réponse, astreinte et indicateurs de pilotage.

    • SOC interne
    • Règles de détection
    • Procédures de réponse

  • Refonte et déploiement de la protection des terminaux (SentinelOne, Microsoft Defender), outils de gestion à distance (RMM) et politique de sauvegarde, sur des parcs répartis dans plusieurs pays.

    • SentinelOne
    • Microsoft Defender
    • RMM & sauvegardes

  • Toute la suite Microsoft verrouillée : accès conditionnel, comptes à privilèges sous contrôle (PIM), postes gérés par Intune, messagerie protégée, journalisation exploitable par le SOC.

    • Entra ID & PIM

    • Nos développeurs front-end et back-end conçoivent vos portails, outils internes et API avec la sécurité intégrée dès la conception. Ils interviennent aussi aux côtés de vos équipes pour corriger les failles relevées en audit : vous ne repartez pas avec un rapport, mais avec des correctifs.

      • Sécurité dès la conception
      • Front-end & back-end
      • Correction des failles d'audit
      • Revue de code continue
    • Intune
    • Azure & Microsoft 365

Gouverner

Le pilotage de la sécurité au niveau d'un groupe international, mis au service de votre organisation.

  • Une équipe qui a piloté la sécurité d'un écosystème international de cabinets sur plusieurs continents : stratégie, feuille de route, arbitrage des risques, comités de direction et gestion des crises.

    • Groupes multi-pays
    • Feuille de route
    • Reporting dirigeants

  • De l'analyse d'écart à la certification : mise en place et maintien d'un SMSI certifié, analyse d'écart NIS2, plan d'action priorisé et préparation des audits de certification et de renouvellement.

    • SMSI certifié

    • Avant le jour J, nous rejouons l'audit dans les conditions réelles : entretiens, revue documentaire, échantillonnage des preuves et visite. Mené par des spécialistes certifiés Lead Auditor, il classe chaque écart comme le ferait l'organisme de certification et vous laisse le temps de corriger. Également disponible pour vérifier votre niveau de conformité NIS2 avant un contrôle.

      • Conditions réelles d'audit
      • Écarts majeurs et mineurs
      • Plan d'action avant certification
      • Accompagnement jusqu'à l'audit officiel
    • Analyse d'écart NIS2
    • Audits de renouvellement

  • Questionnaires de sécurité de vos clients, plateformes de notation comme CyberVadis, annexes de sécurité des appels d'offres et attestations : nous vous aidons à gagner les marchés exigeants.

    • Questionnaires clients
    • CyberVadis
    • Appels d'offres

  • Règles d'usage des outils d'IA, processus d'approbation, souveraineté des données et alignement ISO 27001, ISO 42001 et RGPD, pour adopter l'IA sans exposer vos informations.

    • Politique d'usage
    • Souveraineté des données
    • RGPD

  • Nous mettons en place votre système de management de l'intelligence artificielle selon la norme ISO/IEC 42001 : inventaire des usages et des modèles, analyse d'impact, gestion des risques propres à l'IA, politiques, contrôles et préparation à l'audit de certification. Le tout articulé avec votre ISO 27001 et les exigences de l'AI Act européen.

    • ISO/IEC 42001
    • AI Act
    • Intégration ISO 27001
    • Audit de certification

Les référentiels qui encadrent nos missions

Par où commencer

Quatre portes d'entrée,un résultat concret.

Pas besoin d'un grand programme pour démarrer. Chacune de ces missions se cadre rapidement, se termine par un livrable utilisable et vous dit précisément quoi faire ensuite.

  1. Diagnostic d'exposition

    Ce qu'un attaquant voit de vous depuis Internet : domaines et serveurs oubliés, services exposés, fuites d'identifiants, configurations à risque.

    Vous repartez avec la cartographie de votre surface d'attaque et vos actions prioritaires.

  2. Test d'intrusion avec re-test

    Web, API, mobile ou infrastructure : nous démontrons l'impact réel des failles, puis nous vérifions que vos correctifs tiennent.

    Vous repartez avec un rapport pour la direction et les équipes, et une attestation de re-test à présenter à vos clients.

  3. Simulation d'attaque

    Exercice de crise avec votre comité de direction, puis scénario technique joué contre vos défenses.

    Vous repartez avec la chronologie de l'exercice, vos délais de détection et de décision, et un plan d'amélioration.

  4. Audit blanc de certification

    ISO 27001, ISO 42001 ou NIS2 : l'audit rejoué dans les conditions réelles par des Lead Auditors, avant celui qui compte.

    Vous repartez avec la liste de vos écarts classés comme un certificateur et le plan pour les combler.

  • Faille critiquesignalée le jour même
  • Re-testinclus dans nos tests d'intrusion
  • Un interlocuteurdu cadrage au contrôle
  • Des correctifsnos développeurs peuvent les réaliser avec vous
Choisir ma porte d'entrée

Méthode

Six étapes,aucune surprise.

Chaque mission suit le même déroulé, cadré par écrit avant la première requête. Vous savez à tout moment ce que nous testons, et pourquoi.

  1. Cadrage

    Objectifs, périmètre, contraintes de production, fenêtres de test et contacts d'urgence. Une convention d'audit signée encadre tout le reste.

    Livrable : convention et plan de test

  2. Reconnaissance

    Nous cartographions votre surface d'exposition comme le ferait un attaquant : actifs oubliés, fuites d'informations, services exposés.

    Livrable : cartographie de la surface d'attaque

  3. Exploitation

    Nous éprouvons les vulnérabilités et les enchaînons pour mesurer l'impact réel. Toute faille critique vous est signalée le jour même.

    Livrable : alertes en temps réel sur les critiques

  4. Rapport

    Une synthèse pour la direction, un détail technique reproductible pour vos équipes, et des recommandations classées par effort et par gain.

    Livrable : rapport chiffré et transmis de façon sécurisée

  5. Restitution

    Nous présentons les résultats à vos équipes et à votre direction, et nous construisons ensemble le plan de remédiation.

    Livrable : plan de remédiation priorisé

  6. Contrôle

    Une fois les correctifs appliqués, nous rejouons les attaques pour vérifier qu'ils tiennent vraiment.

    Livrable : attestation de re-test

Questions fréquentes

Vos questions,nos réponses.

Une question qui n'est pas ici ? Écrivez-nous à contact@soya-cyber.fr.

Qu'est-ce qu'un test d'intrusion (pentest) ?

Un test d'intrusion est une attaque simulée, autorisée et encadrée par écrit, menée par des experts pour découvrir les failles exploitables d'une application, d'une infrastructure ou d'un environnement cloud avant qu'un attaquant ne les trouve. Il se conclut par un rapport qui classe chaque faille par gravité et donne les correctifs à appliquer.

Combien de temps dure un test d'intrusion ?

Cela dépend du périmètre : quelques jours pour une application web ou mobile, une à plusieurs semaines pour une infrastructure interne ou un Active Directory complet, plusieurs semaines pour une opération Red Team. La durée est fixée lors du cadrage, avant tout démarrage.

Quelle différence entre un test d'intrusion et une Red Team ?

Le test d'intrusion cherche le maximum de failles sur un périmètre défini. La Red Team simule un attaquant réel qui vise un objectif métier, discrètement et sur l'ensemble de votre organisation, pour éprouver aussi votre capacité à détecter et à réagir.

Vos tests peuvent-ils perturber la production ?

Les tests sont calibrés pour ne pas compromettre la disponibilité de vos services. Les techniques autorisées, les fenêtres d'intervention et les contacts d'urgence sont définis dans une convention d'audit signée avant le début de la mission.

Que contient le rapport livré ?

Une synthèse pour la direction, sans jargon, puis chaque constat détaillé : score CVSS, preuves reproductibles, impact métier et correctifs classés par priorité. Le rapport est transmis de manière chiffrée et suivi d'une restitution, puis d'un re-test des correctifs.

Mon entreprise est-elle concernée par NIS2 ?

La directive NIS2 couvre de nombreux secteurs, dont l'énergie, la santé, les transports, la finance, le numérique et l'industrie, au-delà de certains seuils de taille. Nous réalisons une analyse d'écart pour déterminer si vous êtes concernés et ce qu'il vous reste à mettre en place.

Qu'est-ce que la norme ISO 42001 ?

L'ISO/IEC 42001 est la norme internationale des systèmes de management de l'intelligence artificielle. Elle encadre l'usage responsable de l'IA : inventaire des usages, analyse d'impact, gestion des risques et contrôles. Nous préparons votre organisation à la certification, en cohérence avec l'ISO 27001 et l'AI Act européen.

Qu'est-ce qu'un audit blanc ISO 27001 ou ISO 42001 ?

C'est une répétition générale de l'audit de certification : des spécialistes certifiés Lead Auditor mènent les entretiens, examinent vos documents et vos preuves, puis classent chaque écart comme le ferait l'organisme certificateur. Vous disposez ainsi du temps nécessaire pour corriger avant l'audit officiel. Nous le proposons aussi pour mesurer votre conformité NIS2.

À quoi sert une simulation d'attaque ?

Elle vérifie que votre organisation sait réagir, pas seulement qu'elle est protégée. Un exercice de crise sur table met votre direction face à un scénario réaliste, comme un rançongiciel, puis un scénario technique est joué contre vos défenses pour mesurer ce que votre supervision détecte réellement et en combien de temps.

Pourquoi externaliser son RSSI ou son Global CISO ?

Un RSSI ou Global CISO externalisé apporte l'expérience d'un responsable de la sécurité de groupe international, à temps partagé, sans le coût d'un recrutement à plein temps. Il pilote la feuille de route, arbitre les risques et représente la sécurité devant la direction.

Intervenez-vous en urgence en cas de cyberattaque ?

Oui. En cas d'incident en cours, appelez directement le 07 60 87 03 97. Nous intervenons pour confiner l'attaque, investiguer, restaurer vos systèmes et fixer les conditions d'une remise en service sécurisée.

Où intervenez-vous ?

Nous intervenons partout en France et à l'étranger, sur site ou à distance selon la mission.

Un périmètre à tester,un incident à gérer ?

Parler à un expert Urgence : 07 60 87 03 97