CONTACTEZ

Accueil | Pen testset audit de cybersécurité

Pen testset audit de cybersécurité

yellow arrow
public health success story

technological complexity icon
icon people connected
icon target

Notre équipe s’est appuyée sur une méthodologie en deux étapes menées en parallèle : audit par ateliers et tests d’intrusion. Tout d’abord, dès que le protocole d’intervention a été approuvé par le client, nous avons mené une série d’entretiens avec les équipes responsables des différents services. Ces ateliers nous ont permis de recueillir les données nécessaires sur la cybersécurité en tenant un registre complet des preuves fournies et en les classant.Pour compléter cette phase d’information, nous avons effectué des tests de défaillance afin de détecter les vulnérabilités susceptibles d’être attaquées. L’un des défis majeurs de ce mandat était l’importance de la confidentialité totale des données.

Nous avons évalué la posture de sécurité du client selon trois grands axes d’intervention. D’abord, par des rencontres avec les équipes opérationnelles pour analyser le déroulement de leurs activités quotidiennes. Ensuite, des rencontres avec les gestionnaires de services pour obtenir un portrait de la situation qui prévalait. Finalement, suite à différents incidents reliés à la cybersécurité, une compilation des résultats pour fournir au client un portrait des aspects positifs et des éléments à corriger pour améliorer la posture en cybersécurité de l’organisation et de ses nombreux réseaux régionaux.

Le rapport produit incluait un plan de remédiation, des indicateurs mesurables et des conseils pour l’optimisation de la structure opérationnelle. Les résultats ont été présentés à huis clos aux directeurs informatiques concernés, dont le dirigeant responsable. En raison de l’étendue du réseau et de l’importance de préserver la confidentialité des informations du client, nos spécialistes ont obtenu des sauf-conduit en cas de problèmes avec les responsables de la sécurité physique des différents établissements.

Les tests d’intrusion ont été effectués en mode «boîte noire », notamment par l’installation de sondes sur des postes de travail laissés sans surveillance ou encore des accès à des salles de raccordement. Une fois l’accès au réseau obtenu, le conseiller a procédé aux balayages ainsi qu’à l’évaluation des failles de sécurité.

Par la suite, la gravité des failles détectées a été évaluée selon les indices des référentiels CVSSet de l’OWASP.

L’exercice a été répété pour l’ensemble des réseaux internes et externes. Les équipements médicaux, pour des raisons évidentes de protection du public, ont été exclus de la portée.

  • ESI a réalisé un rapport technique détaillé destiné aux experts en sécurité ainsi qu’une version stratégique pour la haute direction qui a été incorporée au rapport d’audit général.
  • L’implication d’ESI dans le projet a permis de dresser une feuille de route efficace et intelligente afin de limiter les vulnérabilités de cybersécurité.
public health success

Gardien Virtuel ne vise rien de moins que l’excellence.

Notre expertise au service de votre organisation

Notre équipe expérimentée vous aidera à choisir, à planifier et à implanter un programme de cybersécurité ainsi que des solutions adaptées à votre entreprise.

rss feed icon

Actualités du gouvernement

Vous n’arrivez pas à cibler les nombreuses menaces qui pèsent sur votre entreprise?

Laissez notre SOC actif en tout temps, alimenté par le système de sécurité d’IBM QRadar, protéger votre organisation